Eine Krypto-ATM-Flotte betreiben: Bargeld, Kassetten, Compliance

Ein Krypto-ATM ist ein Geldautomat, der in beide Richtungen arbeitet: Ein Kunde steckt Banknoten hinein und erhält Krypto, oder er sendet Krypto und holt sich Banknoten. Eine Flotte solcher Geräte zu betreiben ist ein Logistikgeschäft mit Software-Oberfläche. Der Bildschirm nennt Kurse und holt Bestätigungen ein, aber das Schwierige ist physisch – Bargeld in Kassetten, Geräte an Orten, an denen Sie nicht sind, und ein Tausch an jedem Gehäuse, der auf den Cent genau abgeglichen werden muss. Wer ein Krypto-ATM für eine App hält, hat sich nur die einfache Hälfte angesehen.

Dies ist daher eine Zerlegung der operativen Hälfte: die zwei Subsysteme im Gehäuse, der Tausch am Display, die Kassetten, die in keiner Demo vorkommen, das Prognoseproblem, zu dem eine Flotte wird, und die Disziplin, Geräte zu steuern und abzugleichen, die man nicht sehen kann.

Zwei Maschinen in einem Gehäuse

Ein Krypto-ATM besteht eigentlich aus zwei zusammengeschraubten Subsystemen: einem Bargeldmodul – Notenannahme, Validator, Dispenser oder Recycler und die Kassetten, die die Noten aufnehmen – und einem Krypto-Terminal – einer Wallet, einer Netzwerkverbindung und einem Bildschirm, der Kurse nennt und bestätigt. Ein Kauf läuft von Bargeld zu Krypto: Der Kunde steckt Noten ein, der Validator zählt und stapelt sie, und das Gerät sendet Krypto an die Wallet des Kunden. Ein Verkauf läuft von Krypto zu Bargeld: Der Kunde sendet Krypto an die Adresse des Geräts, und sobald die Überweisung bestätigt ist, zählt der Dispenser Noten aus einer Kassette aus. Alles Schwierige liegt dort, wo diese beiden Hälften aufeinandertreffen, denn Noten sind physisch und nach dem Stapeln nicht mehr rückholbar, während Krypto digital und nach der Bestätigung nicht mehr rückholbar ist – und das Gerät darf keine der beiden Seiten festschreiben, bevor die andere sicher ist.

Der Tausch am Display

An jedem Automaten findet ein Tausch statt, und für ihn gilt dieselbe Disziplin des fixierten Kurses wie an einem Schalterterminal: Der Bildschirm nennt einen Kurs, hält ihn für die Sitzung per Countdown fest, und der Kunde handelt zu genau diesem Kurs, sonst holt die Sitzung einen neuen ein. Die Reihenfolge ist das Sicherheitsmodell. Beim Kauf gibt der Automat Krypto erst frei, nachdem die Scheine geprüft und eingestapelt sind – nicht bloß eingeführt, denn ein Schein im Escrow-Schacht ist noch kein Geld. Beim Verkauf gibt er keinen einzigen Schein aus, bis die eingehende Überweisung genügend Bestätigungen hat, denn ein ausgegebener Schein lässt sich nicht zurückholen. Die unumkehrbare Aktion kommt immer zuletzt, erst wenn die Gegenseite final ist. Wer diese Reihenfolge falsch baut, hat einen Automaten gebaut, der Krypto für Scheine hergibt, die er nie behalten hat, oder Bargeld für eine Überweisung, die nie angekommen ist.

Kassetten: die physische Hälfte, die niemand vorführt

Das Bargeld liegt in Kassetten – austauschbaren Behältern für Scheine, in der Regel eine pro Stückelung, die in den Automaten eingeschoben werden. Ein Recycler kann dieselben Scheine auszahlen, die er angenommen hat; ein einfacherer Dispenser bedient sich nur aus Kassetten, die ein Operator bestückt hat. Jede Kassette trägt zwei Zahlen: den Bestand, den die Software annimmt, und den Bestand, der physisch stimmt. Die gesamte Aufgabe des Operators lässt sich in einem Satz zusammenfassen: diese beiden Zahlen gleich halten. Jeder angenommene Schein erhöht einen Sollbestand, jeder ausgegebene verringert ihn, und ein Besuch zur Bargeldentnahme setzt ihn anhand einer physischen Zählung zurück. Weichen Soll- und Istbestand bei einer Leerung voneinander ab, ist diese Differenz die wichtigste Zahl im gesamten Flottenbetrieb – sie bedeutet eine Fehlzählung, einen Stau oder etwas Schlimmeres, und man findet sie durch Zählen, nie durch Hoffen.

Bargeldbestände – und warum eine Flotte ein Prognoseproblem ist

Ein Automat ist eine Fleißaufgabe; eine Flotte ist ein Prognoseproblem. Ein Dispenser, der leerläuft, weist Kunden ab, und ein Geldscheinprüfer mit vollem Stacker nimmt kein Bargeld mehr an – beides sind Ausfälle, und keiner zeigt eine Fehlerlampe, die ein Passant bemerken würde, denn der Automat kann die gewünschte Transaktion schlicht nicht abschließen. Deshalb erfasst die Konsole den Bargeldbestand pro Kassette und Automat und macht daraus Routen: welche Geräte befüllt und welche geleert werden müssen, bevor eines an seine Grenze stößt. Eine gut geführte Flotte ist vor allem ein Geldtransportplan – wer fährt zu welchem Gerät, mit wie viel Geld, an welchem Tag –, und die Software dient dazu, diesen Plan aus Live-Beständen zu erstellen statt aus Bauchgefühl und Panik am Freitagnachmittag.

Fernsperre und Aktionen aus der Konsole

Die Automaten stehen an Orten, an denen der Operator nicht ist – in einer Lobby, auf einer Verkaufsfläche, in einer Bahnhofshalle –, also muss die Steuerung aus der Ferne möglich sein. Über die Konsole kann ein Operator einen einzelnen Automaten oder die gesamte Flotte sofort sperren, und ein gesperrter Automat schließt nichts Neues mehr ab. Die Sperre ist die Reaktion auf einen Stau, einen Verdacht auf eine Störung, eine Bargelddifferenz oder einen Automaten, der eingefroren werden muss, bis jemand vor Ort ist. Schlüssel und Kassetten bleiben, wo sie sind; der Automat stellt lediglich den Betrieb ein, bis ein Mensch ihn freigibt. Entscheidend ist die Disziplin: Kritische Aktionen werden aus der Konsole ausgelöst, mit Begründung, und landen in einem Protokoll – nicht durch jemanden, der vor Ort unprotokolliert auf dem Bildschirm des Automaten tippt, sodass später niemand mehr nachvollziehen kann, was getan wurde und warum.

Eine Krypto-ATM-Flotte ist kein Softwareprodukt mit etwas angeschlossener Hardware. Sie ist ein Cash-Logistik-Betrieb mit einem Bildschirm an der Front – und jede Zahl auf diesem Bildschirm muss sich auf eine Banknote zurückführen lassen, die Sie in der Hand halten können.

Einen Automaten abstimmen, den man nicht sieht

Der Abgleich ist der tägliche Beweis, dass eine Flotte sauber arbeitet. Jede Sitzung an einem Automaten hinterlässt einen Datensatz – Scheine rein und Krypto raus, oder Krypto rein und Scheine raus, mit dem fixierten Kurs, den Wallet-Adressen und den Bestätigungen. Summiert man die Sitzungen eines Automaten seit der letzten Leerung, erhält man das Bargeld, das er enthalten sollte; zählt man beim Besuch die Kassetten, erhält man das Bargeld, das er enthält; beide Werte müssen übereinstimmen. Die Kryptoseite wird auf dieselbe Weise gegen den Wallet-Saldo des Automaten abgeglichen. Eine Flotte, die pro Automat und pro Tag abgleicht, erkennt ein fehlerhaftes Gerät schon am ersten Tag – einen Stau, ein Skimming, eine Fehlzählung –, statt es als unerklärliches Loch zum Quartalsende zu entdecken. Der ganze Sinn des Hauptbuchs pro Automat ist, dass es einer Prüfung standhält, gerade weil es nie auseinanderdriften durfte.

Compliance ist Aufgabe des Operators; die Software setzt durch und protokolliert

Der Betreiber einer Krypto-ATM-Flotte trägt die Pflichten. Die Erlaubnisse, die er benötigt, die Identitätsprüfungen, die er durchführen muss, und die Transaktionslimits, die er einhalten muss, unterscheiden sich je nach Standort des Automaten – und sie liegen beim Betreiber, nicht beim Gerät und nicht beim Hersteller des Geräts. Die Software arbeitet bewusst mechanisch: Sie setzt die vom Betreiber konfigurierten Limits pro Kunde und pro Tag durch, fordert den vom Betreiber verlangten Identitätsschritt bei dem vom Betreiber festgelegten Schwellenwert an und protokolliert jeden Schein, jede Überweisung und jede Limitentscheidung, damit der Betreiber später für die Flotte Rechenschaft ablegen kann. Der Automat entscheidet nicht über die Richtlinie; er wendet die Richtlinie des Betreibers an jedem Gerät gleich an und hält fest, was geschehen ist. Die richtige Richtlinie zu finden, ist die Disziplin des Betreibers. Der Beitrag der Software ist, diese Richtlinie einheitlich und prüfbar zu machen – über eine Flotte, die kein Einzelner gleichzeitig im Blick behalten kann.

Die ehrliche Grenze

Ein einzelner Automat an einem Standort braucht kaum eine Flottenkonsole – eine Tabelle und eine wöchentliche Zählung würden genügen. Der Aufwand lohnt sich erst im Flottenmaßstab, wo die Zahlen nicht mehr in einen Kopf passen: Bargeldbestände über viele Geräte, Kassettenzählungen, die pro Standort stimmen müssen, Fernsperre für Automaten, die Stunden entfernt stehen, und ein Hauptbuch pro Automat, das einer Prüfung standhält. Bei einem Gerät ist das Overhead; bei zwanzig entscheiden Einsatzplan, Abgleich und Fernsteuerung darüber, ob man ein Geschäft betreibt oder einen Haufen Geräte, die langsam aus dem Gleichgewicht geraten. Die Flottenkonsole finden Sie unter /products/atm, die Begriffe – Kassette, Recycler, Abgleich, Settlement – im /glossary.