Krypto-Compliance-Software sorgt dafür, dass eine Kryptobörse, ein Broker oder ein Verwahrer die Anforderungen von Aufsicht und Geldwäscherecht technisch erfüllt: KYC/AML, Transferinformationen (Travel Rule), sichere Verwahrung, lückenloser Prüfpfad, Marktüberwachung und Meldewesen. 360 Soft Marketing Yazılım ve Danışmanlık entwickelt solche Plattformen neu oder rüstet bestehende Systeme nach. Die Seite ergänzt unsere Übersicht zur KYC/AML-Software und beschreibt Regelrahmen, Umfang, Module, Lieferformen, Projektschritte, KPIs, Aufwandsfaktoren und Risiken.
Regulatorischer Rahmen im Überblick
In der Türkei wurden 2024 mit dem Gesetz Nr. 7518 Regeln für Kryptowerte in das Kapitalmarktgesetz aufgenommen. Kryptowerte-Dienstleister – Handelsplattformen und Verwahrer – benötigen seitdem eine Erlaubnis der Kapitalmarktaufsicht SPK und unterliegen deren Aufsicht; Details zu Kapital, Organisation, Schutz von Kundenvermögen und Betriebsregeln folgen aus Sekundärregelungen der SPK, bei IT-Anforderungen ist auch TÜBİTAK beteiligt. Geldwäscherechtlich sind die Anbieter nach Gesetz Nr. 5549 und den MASAK-Vorgaben verpflichtet: Kundenidentifizierung, Verdachtsmeldungen, Aufbewahrung, interne Kontrollen, Schulungen und die Übermittlung von Absender- und Empfängerdaten bei Transfers.
Für Anbieter im DACH-Raum gelten vor allem MiCA (Markets in Crypto-Assets), die EU-Geldtransferverordnung mit der Travel Rule, DORA für die digitale Betriebsstabilität sowie nationale Regeln wie das GwG, das österreichische FM-GwG oder die Vorgaben der FINMA. Die Software wird auf die jeweils anwendbaren Pflichten konfiguriert; die rechtliche Bewertung und den Lizenzantrag übernehmen Sie bzw. Ihre Berater.
Für wen und welche Probleme
- Neue Plattformen, die eine Erlaubnis beantragen und nachweisen müssen, dass ihre Systeme die Anforderungen erfüllen.
- Bestehende Börsen, deren Software als Klon-Skript entstand und keinen belastbaren Prüfpfad, keine Rollentrennung und kein Transaktionsmonitoring hat.
- Broker und Fintechs, die Kryptohandel als Zusatzprodukt anbieten und Compliance-Module an ihr Kernsystem anbinden müssen.
- Verwahrer, die Hot- und Cold-Wallet-Prozesse, Schlüsselverwaltung und Abstimmung nachvollziehbar machen müssen.
Leistungsumfang
| Bereich | Inhalt |
|---|---|
| KYC/AML | Fern-Onboarding mit NFC-Identitätsprüfung, Risikoscoring, Sanktions- und PEP-Screening, Transaktionsmonitoring, Fallmanagement |
| Travel Rule | Austausch von Absender- und Empfängerdaten mit anderen Dienstleistern, Behandlung von Self-Hosted Wallets |
| Blockchain-Analyse | Anbindung von Chain-Analytics zur Risikobewertung von Adressen und Transfers |
| Wallet und Verwahrung | Hot/Warm/Cold-Architektur, Multi-Signatur oder MPC, HSM-Anbindung, Freigabe-Workflows, tägliche Abstimmung |
| Handelskern | Orderbuch und Matching-Engine, Fiat-Anbindung, Gebühren, Limits |
| Prüfpfad und Reporting | Unveränderbare Protokolle, Behörden- und Managementberichte, Export für Prüfungen |
| Marktüberwachung | Erkennung von Wash Trading, Spoofing, Pump-and-Dump und Insider-Mustern |
Unterschied zum fertigen Klon-Skript
Klon-Skripte versprechen einen Start in Tagen. In der Praxis fehlen oft Rollentrennung, saubere Schlüsselverwaltung, ein manipulationssicherer Prüfpfad und dokumentierte Sicherheitsprüfungen; zudem ist die Herkunft des Codes unklar. Für eine regulierte Plattform zählt nicht nur, dass Funktionen vorhanden sind, sondern dass Sie deren Kontrolle nachweisen können. Wir prüfen bestehende Codebasen in einer Gap-Analyse und entscheiden mit Ihnen, ob eine Nachrüstung oder ein Neuaufbau sinnvoller ist.
Marktintegrität und Überwachungsdaten
Aufseher erwarten, dass eine Plattform Marktmissbrauch erkennt. Dazu werden Orders, Stornierungen und Ausführungen mit präzisen Zeitstempeln gespeichert, Kontoverbindungen zwischen Nutzern ausgewertet und Alarme in ein Fallmanagement überführt. Die Daten müssen vollständig, unverändert und schnell abrufbar sein.
Technologie-Stack
- Backend: Go, Java/Kotlin,.NET oder Node.js; Ereignisstreaming mit Kafka
- Datenbanken: PostgreSQL, Zeitreihen- und Analytik-Speicher
- Frontend und Apps: React, Flutter, native iOS/Android
- Infrastruktur: Kubernetes, Private Cloud oder On-Premises, HSM, SIEM-Anbindung
Lieferformen
| Modell | Inhalt | Geeignet für |
|---|---|---|
| Projekt (Werkvertrag) | Neuaufbau oder Nachrüstung mit definiertem Umfang und Abnahme | Plattformen vor dem Lizenzantrag |
| Dedizierte Teams (Dienstvertrag) | Entwicklungsteam, das unter Steuerung von 360 Soft laufend für Sie arbeitet | Wachsende Plattformen mit laufendem Bedarf |
| Teamverstärkung | Blockchain-, Backend-, Security- oder QA-Spezialisten für Ihr Team | Teams mit Kapazitätsengpass |
| Betrieb und Support | Monitoring, Incident-Response, Compliance-Operations, 24/7-Schichten möglich | Plattformen mit Rund-um-die-Uhr-Handel |
Projektschritte und typische Dauer
| Schritt | Inhalt | Typische Dauer |
|---|---|---|
| 1. Analyse und Gap-Analyse | Bestehendes System, Prozesse, Anforderungen, Sicherheitsstatus | 2–4 Wochen |
| 2. Architektur und Anforderungsdokument | Modulgrenzen, Datenflüsse, Rechtematrix, Design des Prüfpfads | 2–4 Wochen |
| 3. Prioritäre Module | Onboarding, Transaktionsmonitoring, Prüfpfad und Reporting | 2–4 Monate |
| 4. Handelskern und Wallet | Matching, Verwahrung, Fiat-Anbindung, Abstimmung | 3–6 Monate (je nach Umfang) |
| 5. Sicherheitsprüfung | Code-Review, Penetrationstest, Lasttest, Behebung der Befunde | 3–6 Wochen |
| 6. Dokumentation | Technische Architektur, Prozess- und Kontrolldokumente, Prüfnachweise | Parallel zur Entwicklung |
| 7. Go-live und Support | Stufenweise Freischaltung, Monitoring, Incident-Response-Plan | Laufend |
Die Dauern sind Richtwerte; Zustand der bestehenden Codebasis, Zahl der Integrationen und der regulatorische Zeitplan sind entscheidend.
SLA- und KPI-Beispiele
| Kennzahl | Bedeutung |
|---|---|
| Verfügbarkeit | Erreichbarkeit von Handel, Ein- und Auszahlungen gemäß SLA |
| Onboarding-Dauer | Zeit vom Antrag bis zur Freigabe des Kontos |
| Travel-Rule-Abdeckung | Anteil der Transfers mit vollständigen Absender- und Empfängerdaten |
| Abstimmungsdifferenzen | Abweichungen zwischen Wallet-Beständen und Buchhaltung |
| Alarmbearbeitungszeit | Dauer bis zur Entscheidung über Monitoring-Alarme |
| Reaktionszeit bei Incidents | Zeit bis zur Eindämmung sicherheitsrelevanter Vorfälle |
Faktoren, die den Aufwand bestimmen
- Neuaufbau oder Nachrüstung einer bestehenden Plattform
- Zahl der Coins, Netzwerke und Fiat-Kanäle
- Verwahrungsmodell (eigene Wallets, MPC, HSM, Drittverwahrer)
- Lizenzkosten externer Dienste wie Chain-Analytics, Travel-Rule-Netzwerk und Identitätsprüfung
- Umfang von Sicherheitsprüfungen und Dokumentation
- Bedarf an 24/7-Betrieb und Compliance-Operations
Eigenes Team, Freelancer oder Outsourcing
| Kriterium | Eigenes Team | Freelancer | 360 Soft |
|---|---|---|---|
| Startzeit | Monate für Recruiting | Schnell, aber einzeln | Typisch 1–2 Wochen |
| Kontinuität | Abhängig von Fluktuation | Risiko bei Ausfall | Geregelter Ersatzprozess |
| Skalierung | Langsam | Begrenzt | Teams von 1 bis 200+ |
| Verantwortung | Intern | Fragmentiert | Vertraglich geregelt |
Risiken und Gegenmaßnahmen
- Schlüsselverlust oder Diebstahl: MPC oder Multi-Signatur, HSM, Vier-Augen-Freigaben, Cold-Storage-Anteil.
- Lückenhafter Prüfpfad: Unveränderbare, zentral gesammelte Protokolle mit Zeitstempel.
- Fehlende Transferdaten: Travel-Rule-Integration mit Regeln für Self-Hosted Wallets.
- Sicherheitslücken: Code-Review, Penetrationstests, Schwachstellenmanagement.
- Regulatorische Änderungen: Konfigurierbare Regeln und Supportvertrag für Anpassungen.
Sicherheit, DSGVO, KVKK, NDA und geistiges Eigentum
Für personenbezogene Daten aus dem EWR schließen wir einen AVV nach Art. 28 DSGVO mit EU-Standardvertragsklauseln (SCC); für Verarbeitungen in der Türkei gilt das KVKK. NDA und die vollständige Übertragung der Rechte am Code sind Standard. Die Zusammenarbeit erfolgt als Dienst- oder Werkvertrag – keine Arbeitnehmerüberlassung; Fragen zu AÜG und Scheinselbständigkeit hängen von der tatsächlichen Durchführung ab, eine rechtliche Prüfung empfehlen wir.
Checkliste für die Auswahl
- Gibt es einen manipulationssicheren Prüfpfad für alle kritischen Aktionen?
- Wie sind Schlüsselverwaltung und Freigaben für Auszahlungen gelöst?
- Ist eine Travel-Rule-Lösung integriert?
- Werden Penetrationstests und Code-Reviews dokumentiert?
- Gehört Ihnen der Quellcode vollständig?
- Kann der Anbieter auch Betrieb und Compliance-Operations unterstützen?
Beispielszenario (illustrativ)
Beispielszenario (illustrativ) – kein realer Kunde, keine erzielten Ergebnisse. Eine bestehende Handelsplattform basiert auf einem zugekauften Skript und muss vor einem Lizenzantrag nachgerüstet werden. Nach einer Gap-Analyse werden Onboarding mit NFC-Prüfung, Transaktionsmonitoring, Travel-Rule-Anbindung, ein zentraler Prüfpfad und eine MPC-Verwahrung umgesetzt; anschließend folgt ein Penetrationstest. Gemessen würden Verfügbarkeit, Travel-Rule-Abdeckung, Abstimmungsdifferenzen und Alarmbearbeitungszeit.
Verwandte Seiten
- KYC/AML-Software – Übersicht
- NFC-Identitätsprüfung
- KYC/AML-Betrieb auslagern
- Fraud-Monitoring-Outsourcing
- Türkçe
Referenz
Die Coinone-Kryptobörsenplattform gehört zu unseren Referenzen.
Häufig gestellte Fragen
Stellen Sie den Lizenzantrag für uns?
Nein. Den Antrag stellen Sie mit Ihren Rechtsberatern. Wir liefern die technische Umsetzung sowie Architektur- und Kontrolldokumente, die Sie dafür benötigen.
Können Sie unsere bestehende Plattform nachrüsten?
Ja. Nach einer Gap-Analyse entscheiden wir gemeinsam, welche Module nachgerüstet und welche neu entwickelt werden.
Ist die mobile App enthalten?
Auf Wunsch ja – als native iOS- und Android-App oder mit Flutter, einschließlich Onboarding und Sicherheitsfunktionen.
Wen erfasst das Gesetz Nr. 7518?
In der Türkei Kryptowerte-Dienstleister wie Handelsplattformen und Verwahrer, die eine Erlaubnis der SPK benötigen. In der EU regelt MiCA vergleichbare Pflichten; es gelten die Regeln Ihres Landes.
Wie werden Geldwäschepflichten in der Software umgesetzt?
Über Onboarding mit Identitätsprüfung, Risikoscoring, Listen-Screening, Transaktionsmonitoring, Chain-Analytics, Travel Rule, Fallmanagement und revisionssichere Aufbewahrung.
Was unterscheidet ein Klon-Skript von Individualentwicklung?
Klon-Skripte sind schnell verfügbar, bieten aber selten belastbaren Prüfpfad, Rollentrennung und dokumentierte Sicherheit. Individualentwicklung liefert nachweisbare Kontrollen und klare Rechte am Code.
Welche Wallet-Verfahren nutzen Sie?
Hot/Warm/Cold-Architektur mit Multi-Signatur oder MPC, HSM-Anbindung und Vier-Augen-Freigaben – je nach Risiko und Volumen.
Wie funktioniert das Fern-Onboarding?
Mit Ausweisprüfung per NFC-Chip, Lebenderkennung, Sanktions- und PEP-Screening und Risikoscoring; je nach Aufsicht ergänzt durch Video-Ident.
Ist ein Penetrationstest enthalten?
Ja, als Schritt vor dem Go-live, ergänzt durch Code-Review und Lasttest. Befunde werden behoben und dokumentiert.
Wie lange dauert ein Projekt?
Je nach Umfang von einigen Monaten für prioritäre Compliance-Module bis zu mehreren Monaten für einen vollständigen Neuaufbau; das Team startet typischerweise in 1–2 Wochen.
Krypto-Compliance für Ihre Plattform planen
Sprechen Sie mit uns über Ihr Vorhaben: Telefon +90 850 335 10 87, E-Mail info@360-soft.com oder per WhatsApp. Alternativ nutzen Sie unser Kontaktformular – wir melden uns mit einem Vorschlag für die nächsten Schritte. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.
