Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand ACFE Swiss Chapter
Für ein Krypto-Unternehmen, das in den EU-Markt eintritt, ist die MiCA-Zulassung nur ein Teil des Compliance-Gesamtbilds.
MiCA beantwortet Fragen wie:
Können Sie Kryptowerte-Dienstleistungen in der EU legal erbringen und wie muss das Unternehmen operativ geführt werden?
Die EU-Geldwäschegesetzgebung stellt andere Anforderungen:
Wie müssen Sie Kunden identifizieren, Geldwäscherisiken bewerten, Transaktionen überwachen und auf verdächtige Aktivitäten reagieren?
Für viele Krypto-Dienstleister lautet die Antwort daher nicht MiCA oder AMLD.
Sie lautet: MiCA und AML-Compliance.
vom ersten Tag an
Bereiten Sie Ihren MiCA-Antrag vor? Das Trusty MiCA Booster Pack liefert Ihnen einsatzbereite Richtlinien, Mitarbeiterschulungen und einen Hinweisgeberkanal, vorab auf MiCA und DORA abgestimmt.
MiCA vs. AMLD auf einen Blick
MiCA | EU-Geldwäscherahmen | |
|---|---|---|
Hauptzweck | Regulierung der EU-Kryptomärkte und Krypto-Dienstleister | Verhinderung von Geldwäsche und Terrorismusfinanzierung |
Betroffene Kernbereiche | Krypto-Dienstleister, Emittenten und andere Kryptomarkt-Teilnehmer | CASPs und andere finanzielle/nicht-finanzielle Verpflichtete |
CASP-Zulassung | Ja | AML-Registrierungen gab es bisher nach nationalem Recht, sie ersetzen die MiCA-Zulassung aber nicht |
Kundenidentifizierung | AML-Kontrollen gehören zur Compliance eines CASP | Ja |
Prüfung wirtschaftlich Berechtigter | Relevant über die AML-Compliance | Ja |
PEP-Screening | Nicht die Kernfunktion von MiCA | Ja |
Sanktionskontrollen | Relevant für die Gesamt-Compliance | Ja |
Transaktionsüberwachung | AML-Systeme erforderlich | Ja |
Meldung verdächtiger Transaktionen | Geregelt durch AML-Vorschriften | Ja |
Marktmissbrauch | Ja, MiCA enthält Vorschriften zur Marktintegrität bei Kryptowerten | Nicht der Hauptfokus |
Kundenschutz | Ja | Nicht der Hauptfokus |
Aufsichtsrechtliche Anforderungen | Ja, für CASPs | Nicht der Hauptfokus |
Was verlangt MiCA von Krypto-Unternehmen?
Die Verordnung über Märkte für Kryptowerte, kurz MiCA, schafft einen einheitlichen Regulierungsrahmen für Kryptowerte und Kryptowerte-Dienstleistungen in der EU.
MiCA regelt unter anderem:
- Zulassung von Anbietern von Kryptowerte-Dienstleistungen (CASPs);
- Governance;
- aufsichtsrechtliche Anforderungen;
- Kundenschutz;
- Verwahrung von Kundenvermögen;
- Interessenkonflikte;
- Aufzeichnungspflichten;
- operative Anforderungen;
- Marktmissbrauch;
- Offenlegungspflichten.
Ein Unternehmen darf in der Regel keine Kryptowerte-Dienstleistungen in der EU erbringen, es sei denn, es ist entsprechend nach MiCA zugelassen oder ist ein anderes beaufsichtigtes Finanzunternehmen, das zur Erbringung dieser Dienstleistungen gemäß der Verordnung berechtigt ist.
Die Übergangsregelungen von MiCA für bereits bestehende nationale Anbieter galten längstens bis zum 1. Juli 2026. Stand September 2026 ist die maximale EU-weite Übergangsfrist somit abgelaufen.
Enthält MiCA AML-Anforderungen?
MiCA steht in direkter Wechselwirkung mit der AML-Compliance, ersetzt jedoch nicht den EU-AML-Rahmen.
So verlangt MiCA beispielsweise von Krypto-Dienstleistern, geeignete Systeme und Verfahren zur Risikobewertung und zur Einhaltung der geltenden AML/CFT-Vorschriften vorzuhalten.
Ein schwerwiegendes Versäumnis, wirksame Kontrollen gegen Geldwäsche und Terrorismusfinanzierung aufrechtzuerhalten, kann sich auch auf die Zulassung eines CASP auswirken.
AML-Compliance ist also keine optionale Ergänzung zur MiCA-Zulassung.
Sie gehört dazu, ein Krypto-Geschäft dauerhaft regelkonform zu betreiben.
Was verlangt die AMLD von Krypto-Unternehmen?
Die EU hat Krypto-Unternehmen schrittweise in ihren AML/CFT-Rahmen einbezogen.
Nach dem aktuellen Rahmenwerk gelten erfasste Krypto-Dienstleister als Verpflichtete.
Damit gelten bekannte Kontrollen zur Bekämpfung von Finanzkriminalität auch im Kryptogeschäft, darunter:
- Identifizierung und Verifizierung von Kunden;
- Identifizierung wirtschaftlich Berechtigter;
- Risikobewertung;
- verstärkte Sorgfaltspflichten für Geschäftsbeziehungen mit höherem Risiko;
- PEP-Kontrollen;
- sanktionsbezogene Prüfungen;
- laufende Überwachung;
- Meldung verdächtiger Transaktionen;
- Aufzeichnungspflichten;
- interne AML-Richtlinien und -Kontrollen.
Die konkreten Verfahren sollten sich nach Art und Risiko der erbrachten Kryptowerte-Dienstleistungen richten.
Ist AMLD 2026 noch der richtige Begriff?
Im allgemeinen Sprachgebrauch ja, rechtlich betrachtet verändert sich der EU-Rahmen jedoch.
Viele Unternehmen sprechen weiterhin von „AMLD-Krypto-Anforderungen“, „MiCA vs. AMLD“ oder „5AMLD Krypto“, sodass der Begriff weiterhin gebräuchlich ist.
Die EU hat jedoch 2024 ein neues AML-Gesetzespaket verabschiedet.
Ein zentraler Bestandteil dieses Pakets ist die Verordnung (EU) 2024/1624, gewöhnlich als AML-Verordnung oder AMLR bezeichnet.
Der Großteil der AMLR gilt ab dem 10. Juli 2027.
Das bedeutet, dass Krypto-Unternehmen, die 2026 ihre Systeme vorbereiten, über den historischen AMLD-Rahmen hinausdenken und sicherstellen sollten, dass ihre Compliance-Architektur den kommenden AMLR-Anforderungen gerecht werden kann.
Welche AML-Prüfungen benötigt ein Krypto-Unternehmen?
Für einen CASP beginnt die AML-Compliance in der Regel, bevor ein Kunde seine erste bedeutende Transaktion tätigt.
1. Kundenidentifizierung
Das Unternehmen muss Kunden identifizieren und deren Identität anhand zuverlässiger Informationen verifizieren.
Bei juristischen Personen heißt das auch zu klären, wem der Kunde letztlich gehört oder wer ihn kontrolliert.
2. Prüfung wirtschaftlich Berechtigter
Bei einem Firmenkonto darf die Prüfung nicht beim Firmennamen enden.
Der CASP muss die relevanten wirtschaftlich Berechtigten identifizieren und die Eigentums- und Kontrollstruktur verstehen.
3. PEP-Screening
Kunden und wirtschaftlich Berechtigte sollten, soweit anwendbar, auf ihren Status als politisch exponierte Person geprüft werden.
Eine PEP-Beziehung ist nicht automatisch untersagt.
Sie löst in der Regel zusätzliche Risikomanagementmaßnahmen aus, einschließlich verstärkter Sorgfaltspflichten.
4. Sanktionsscreening
Finanzsanktionen stehen im Zusammenhang mit AML, sind rechtlich jedoch davon zu unterscheiden.
CASPs benötigen Kontrollen, mit denen Kunden, wirtschaftlich Berechtigte und relevante Vertragspartner identifiziert werden können, die geltenden Sanktionsbeschränkungen unterliegen.
5. Kundenrisikobewertung
Nicht jeder Krypto-Kunde stellt das gleiche Geldwäscherisiko dar.
Relevante Faktoren können sein:
- Geografie;
- Kundentyp;
- Eigentumsstruktur;
- genutztes Produkt oder Dienstleistung;
- Transaktionsverhalten;
- Herkunft der Mittel;
- Vertriebskanal;
- Bezug zu Hochrisikoländern.
Das Ergebnis sollte den Umfang der Sorgfaltspflichten und Überwachungsmaßnahmen bestimmen, die für die jeweilige Geschäftsbeziehung angemessen sind.
6. Transaktionsüberwachung
Das Onboarding von Kunden ist erst der Anfang.
Krypto-Unternehmen müssen Aktivitäten auf Muster überwachen, die ungewöhnlich sind, nicht zum bekannten Kundenprofil passen oder auf Geldwäsche oder Terrorismusfinanzierung hindeuten.
Dabei können folgende Aspekte berücksichtigt werden:
- Transaktionshäufigkeit;
- Transaktionsgröße;
- Gegenparteien;
- Risikoprofil der Wallets;
- geografisches Risiko;
- ungewöhnliche Bewegungen zwischen Fiat und Krypto;
- Interaktionen mit Hochrisiko-Diensten.
7. Meldung verdächtiger Transaktionen
Wird die geltende rechtliche Verdachtsschwelle erreicht, müssen Verpflichtete dies der zuständigen zentralen Meldestelle (FIU) gemäß dem jeweiligen nationalen Recht melden.
Wie verhält es sich mit selbstverwalteten Wallets?
Selbst gehostete Adressen sind ein besonders wichtiges kryptospezifisches Thema.
Das EU-Rahmenwerk verpflichtet CASPs, Geldwäsche- und Terrorismusfinanzierungsrisiken im Zusammenhang mit Transfers von oder zu selbst gehosteten Adressen zu identifizieren und zu bewerten.
Risikominderungsmaßnahmen können sein:
- Einholung zusätzlicher Informationen;
- Identifizierung oder Verifizierung des Auftraggebers oder Begünstigten;
- verstärkte Überwachung;
- Bestimmung der Herkunft und des Bestimmungsorts von Kryptowerten;
- Anwendung zusätzlicher Kontrollen bei erhöhtem Risiko.
Mit der kommenden AMLR werden diese Anforderungen noch deutlicher ausgestaltet.
Gibt es eine KYC-Schwelle von 1.000 € für Kryptowerte?
Dies bedarf einer sorgfältigen Auslegung.
Nach den ab 2027 geltenden AMLR-Vorschriften müssen Krypto-Dienstleister bei gelegentlichen Krypto-Transaktionen im Wert von 1.000 € oder mehr Sorgfaltspflichten gegenüber Kunden anwenden.
Bei gelegentlichen Transaktionen unter 1.000 € müssen CASPs dennoch mindestens die vorgeschriebenen Maßnahmen zur Kundenidentifizierung durchführen.
Zudem bedeuten Schwellenwerte keinesfalls, dass verdächtige Transaktionen einfach ignoriert werden dürfen.
Sorgfaltspflichten gegenüber Kunden sind auch in Fällen wie den folgenden erforderlich:
- bei Aufnahme einer Geschäftsbeziehung;
- bei Verdacht auf Geldwäsche oder Terrorismusfinanzierung;
- bei Zweifeln an zuvor erhaltenen Identifizierungsangaben.
„Krypto-KYC beginnt bei 1.000 €“ ist daher zu stark vereinfacht.
Was ist die EU-Travel-Rule für Kryptowerte?
Krypto-Unternehmen müssen außerdem die Geldtransferverordnung, Verordnung (EU) 2023/1113, berücksichtigen.
Sie weitet die Rückverfolgbarkeitsanforderungen auf Transfers von Kryptowerten aus.
In der Praxis müssen CASPs bei der Abwicklung von Krypto-Transfers möglicherweise Informationen über den Auftraggeber und den Begünstigten einholen und übermitteln.
Damit besteht die EU-Krypto-Compliance aus drei Teilen:
MiCA → Zulassung und Kryptomarkt-Regulierung
AML-Rahmenwerk → Kunden- und Finanzkriminalitätsrisiko
Geldtransferverordnung → Rückverfolgbarkeit von Transaktionen
Sie greifen ineinander, sind aber nicht austauschbar.
Beispiel: Eine Kryptobörse expandiert in die EU
Stellen Sie sich vor, eine Krypto-Börse möchte Dienstleistungen für Kunden in der gesamten EU anbieten.
Der Erhalt einer MiCA-Zulassung klärt die Frage, ob das Unternehmen regulierte Kryptowerte-Dienstleistungen erbringen darf.
Die Börse benötigt jedoch weiterhin ein funktionierendes AML-Programm.
Dies könnte Folgendes umfassen:
Kunde → Identität → wirtschaftlich Berechtigter → Sanktionen → PEP → Risikobewertung → Transaktionsüberwachung → Warnmeldungen → Untersuchung → Meldung
Eine MiCA-Zulassung lässt diese Schritte nicht entfallen.
Tatsächlich können schwache AML-Kontrollen die Fähigkeit des Unternehmens gefährden, als beaufsichtigter CASP regelkonform zu bleiben.
MiCA-Zulassung vs. AML-Compliance
Eine hilfreiche Faustregel zur Unterscheidung lautet:
MiCA fragt: Sind Sie als Krypto-Dienstleister ordnungsgemäß zugelassen und tätig?
Die AML-Vorschriften fragen: Wissen Sie, wer Ihre Kunden sind, und kontrollieren Sie das Risiko von Finanzkriminalität angemessen?
Ein Krypto-Unternehmen muss in der Regel beide Fragen mit Ja beantworten.
Benötigen CASPs Sanktions- und PEP-Screening?
Für eine praktische AML-Compliance sollte das Screening Teil eines umfassenderen Kundenrisiko-Rahmenwerks sein.
Ein grundlegender Workflow könnte Folgendes umfassen:
Kunden-Onboarding
↓
Verifizierung der Identität und der wirtschaftlich Berechtigten
↓
Sanktions- und PEP-Screening
↓
Kundenrisikobewertung
↓
Verstärkte Sorgfaltspflichten bei Bedarf
↓
Laufende Überwachung und erneutes Screening
↓
Transaktionsüberwachung
↓
Untersuchung und Meldung
Ein Screening nur beim Onboarding kann spätere Änderungen übersehen, etwa wenn ein Kunde sanktioniert wird oder den PEP-Status erhält.
inklusive
Benötigen Sie Sanktions- und PEP-Screening für Ihren CASP? Trusty führt AML-Screening gemeinsam mit Ihren Richtlinien, Mitarbeiterschulungen und Ihrem Hinweisgeberkanal auf einer einzigen Plattform durch. Oder vereinbaren Sie eine Demo.
MiCA ersetzt keine Compliance-Arbeit
Dies ist ein wichtiger Punkt für Unternehmen, die die MiCA-Zulassung als Ziellinie betrachten.
Eine Zulassung unter MiCA bedeutet nicht:
- jeder Kunde hat automatisch die AML-Prüfungen bestanden;
- Sanktions-Screening ist unnötig;
- PEP-Screening ist unnötig;
- Transaktionsüberwachung ist unnötig;
- verdächtige Aktivitäten müssen nicht mehr untersucht werden;
- Risiken durch selbst verwaltete Wallets können ignoriert werden.
Zulassung und Compliance im Bereich Finanzkriminalität sind getrennte, aber miteinander verbundene Verantwortlichkeiten.
Häufig gestellte Fragen
Nein. MiCA reguliert Kryptomärkte und Krypto-Dienstleister, während die EU-AML-Gesetzgebung Kontrollen gegen Geldwäsche und Terrorismusfinanzierung regelt. CASPs können von beidem betroffen sein.
Ja. Das EU-Recht bezieht die in MiCA definierten Anbieter von Kryptowerte-Dienstleistungen in den Anwendungsbereich des AML/CFT-Rahmens ein.
MiCA verlangt von CASPs, Systeme und Verfahren vorzuhalten, die die Einhaltung der geltenden AML/CFT-Vorschriften unterstützen. Detaillierte Sorgfaltspflichten gegenüber Kunden ergeben sich in erster Linie aus dem AML-Rahmen und nicht daraus, dass MiCA als eigenständiges KYC-Regelwerk fungiert.
CASPs benötigen Kontrollen, mit denen relevante politisch exponierte Personen identifiziert und, soweit nach AML-Gesetzgebung erforderlich, verstärkte Maßnahmen angewendet werden können.
Ja, geltende Finanzsanktionen müssen eingehalten werden. Ein wirksames Screening von Kunden, wirtschaftlich Berechtigten und relevanten Vertragspartnern ist ein wichtiger Bestandteil dieses Prozesses.
Die EU hat 2024 ein neues AML-Paket verabschiedet, einschließlich der unmittelbar geltenden AML-Verordnung. Die meisten AMLR-Bestimmungen gelten ab dem 10. Juli 2027, daher sollten Unternehmen sowohl die aktuellen Anforderungen als auch den kommenden Rahmen prüfen.
Nein. Die MiCA-Zulassung deckt nur einen Teil des regulatorischen Rahmens ab. Je nach Tätigkeit muss ein Krypto-Unternehmen außerdem die AML/CFT-Vorschriften, die Krypto-Travel-Rule, DORA und weitere geltende EU- und nationale Anforderungen einhalten.
Fazit
MiCA reguliert das Krypto-Geschäft. AML-Regeln regulieren das Risiko von Finanzkriminalität innerhalb dieses Geschäfts.
Ein rechtskonformer CASP benötigt daher mehr als nur eine Zulassung.
Er benötigt ein fortlaufendes System, um Kunden zu verstehen, wirtschaftlich Berechtigte zu identifizieren, Sanktionen und PEP-Bezüge zu erkennen, Risiken zu bewerten und Veränderungen im Laufe der Zeit zu überwachen.
Für Krypto-Unternehmen mit großen Kunden- oder Vertragspartnerbeständen wird automatisiertes Screening hier besonders wertvoll: Sanktions-, PEP- und Prüfungen auf negative Medienberichte können so Teil eines wiederholbaren Risiko-Workflows für Kunden und Dritte werden, statt eine einmalige Maßnahme beim Onboarding zu bleiben.
Quellen:
Europäische Kommission, Kryptowerte und MiCA
EUR-Lex, Verordnung (EU) 2024/1624 (AMLR)
Weiterführende Lektüre: was das Ende der MiCA-Übergangsfrist für CASPs bedeutet, wie PEP-Screening funktioniert, und das MiCA Booster Pack für die Richtlinien und Schulungen, die ein CASP benötigt.
ZULASSUNGSBEREIT
MiCA Booster Pack: 17 einsatzbereite Richtlinien, 11 Mitarbeiterschulungen, ein Hinweisgeberkanal und integriertes AML-Screening, vorab auf MiCA, DORA und die Travel Rule abgestimmt.