AMLR für Krypto: Was Krypto-Dienstleister prüfen müssen

Zuletzt geprüft: 2. Oktober 2026 · Keine Rechtsberatung

Schlagzeilen besagen, die EU verbiete Privacy Coins und Self-Custody. Der Text der Verordnung (EU) 2024/1624 ist enger gefasst und anspruchsvoller als eine Schwelle von EUR 1.000. Dieser Leitfaden zitiert die Artikel, die einen CASP binden, und zeigt, wo die Verordnung über Märkte für Krypto-Assets (MiCA) und die Verordnung über Geldtransfers (TFR) übernehmen.

Die AMLR ist in Kraft, gilt aber noch nicht: Bis zum 10. Juli 2027 gelten die nationalen Gesetze, die die aktuelle Richtlinie umsetzen.^[1][12] Einen Überblick über die gesamte Verordnung finden Sie unter AMLR erklärt.

AMLR Krypto-Umfang: Ein CASP ist ein Finanzinstitut

Artikel 3 listet drei Gruppen von Verpflichteten auf: Kreditinstitute, Finanzinstitute und eine Reihe von Berufen und Händlern. Krypto hat keine eigene Zeile. CASPs gehören zur zweiten Gruppe, da die Definition eines Finanzinstituts in Artikel 2 Absatz 1 Nummer 6 „einen Dienstleister für Krypto-Assets“ umfasst.^[1]

Die AMLR übernimmt die Bedeutung von CASP aus der MiCA, Verordnung (EU) 2023/1114, und zählt einen Anbieter „wenn er einen oder mehrere Dienstleistungen für Krypto-Assets erbringt“. Eine Dienstleistung ist ausgenommen: „Beratung zu Krypto-Assets“.^[1] Ein CASP schuldet also das, was jedes Finanzinstitut schuldet, zuzüglich einiger krypto-spezifischer Regeln.

Der Rat erklärte, die Verordnung erweitere die Regeln auf „den Großteil des Kryptosektors“^[10], und die Anti-Money Laundering Authority (AMLA) listet „bestimmte Dienstleister für Krypto-Assets“ unter den neu erfassten Verpflichteten auf.^[13] Keiner von beiden sagt, dass jedes Krypto-Unternehmen zum ersten Mal im Jahr 2027 erfasst wird. Andere Kategorien finden Sie in der AMLR-Checkliste nach Art der Verpflichteten.

Artikel der AMLR, sofern nicht als TFR gekennzeichnet.^[1][2]

Die Schwelle von 1.000 EUR ist keine KYC-freie Grenze

Für die meisten Verpflichteten lösen gelegentliche Transaktionen Sorgfaltspflichten gegenüber Kunden (Customer Due Diligence, CDD) ab einem Betrag von 10.000 EUR aus.^[1] Für Krypto-Dienstleister (CASPs) liegt die Grenze bei 1.000 EUR, wobei eine zweite Regel darunter greift.

Artikel 19 Absatz 3Verordnung (EU) 2024/1624

„a) Sorgfaltspflichten gegenüber Kunden anzuwenden, wenn sie eine gelegentliche Transaktion im Wert von mindestens 1 000 EUR [...] durchführen; b) mindestens die in Artikel 20 Absatz 1 Buchstabe a genannten Sorgfaltspflichten gegenüber Kunden anzuwenden, wenn sie eine gelegentliche Transaktion durchführen, deren Wert unter 1 000 EUR liegt.“

Quelle: EUR-Lex, Verordnung (EU) 2024/1624^[1]

Artikel 20 Absatz 1 Buchstabe a ist die „Feststellung und Überprüfung der Identität des Kunden“. Ein Krypto-Dienstleister (CASP) führt diesen Know Your Customer (KYC)-Schritt somit für jede gelegentliche Transaktion durch, unabhängig vom Betrag. Ab 1.000 EUR gelten auch die anderen CDD-Maßnahmen: die Ermittlung der wirtschaftlich Berechtigten, des Zwecks und der beabsichtigten Art der Geschäftsbeziehung, die Sanktionslistenprüfung, die Bestimmung, ob eine politisch exponierte Person (PEP) vorliegt, und die laufende Überwachung.^[1]

Gemäß Artikel 22 wird die Identität durch ein Identitätsdokument oder durch elektronische Identifizierung (eID) mit dem Sicherungsniveau „substanziell“ oder „hoch“ und entsprechenden qualifizierten Vertrauensdiensten überprüft. Kann die Sorgfaltspflicht nicht erfüllt werden, muss der Krypto-Dienstleister (CASP) von der Transaktion absehen und eine Meldung an die Financial Intelligence Unit (FIU) in Betracht ziehen.^[1]

Die endgültigen Entwürfe der technischen Regulierungsstandards (RTS) der AMLA zur CDD vom 30. September 2026 behandeln eID als Standardweg für die Fernidentifizierung und die dokumentenbasierte Fernüberprüfung als Alternative, die der Verpflichtete begründen muss.^[4][5] Dies sind endgültige Entwürfe, die an die Kommission gesandt wurden: Sie sind noch nicht angenommen und kein Gesetz. Siehe AMLR Identitätsprüfung und AMLA finale Standards.

Artikel 79: Anonyme Konten und Anonymität verbessernde Coins

Dies ist der Artikel, der hinter den Schlagzeilen zum „Verbot von Privacy Coins“ steckt.

Artikel 79 Absatz 1Verordnung (EU) 2024/1624

„Kreditinstitute, Finanzinstitute und Krypto-Dienstleister dürfen keine anonymen Bank- und Zahlungskonten, anonymen Sparbücher, anonymen Schließfächer oder anonymen Krypto-Konten sowie keine Konten führen, die auf andere Weise die Anonymisierung des Kundenkontoinhabers oder die Anonymisierung oder verstärkte Verschleierung von Transaktionen, einschließlich durch Anonymität verbessernde Coins, ermöglichen.“

Quelle: EUR-Lex, Verordnung (EU) 2024/1624^[1]

Der Artikel bindet Kreditinstitute, Finanzinstitute und Krypto-Dienstleister (CASPs), und das verbotene Handeln ist das Führen von Konten. Die Coins erscheinen als eine Möglichkeit, diese zu anonymisieren, und Artikel 2 Absatz 1 Nummer 25 definiert sie als „Krypto-Vermögenswerte, die über integrierte Funktionen verfügen, die darauf ausgelegt sind, Krypto-Vermögenswert-Übertragungsinformationen systematisch oder optional anonym zu machen.“^[1] Die Verordnung spricht nie von „Privacy Coins“, und „optional“ bezieht sich auf Vermögenswerte, deren Anonymitätsfunktion eine Einstellung ist.

Der Artikel regelt nicht Privatpersonen, die solche Vermögenswerte halten. Erwägungsgrund 160 zieht auch eine Grenze bei den Tools: „Dieses Verbot gilt nicht für Anbieter von Hard- und Software oder Anbieter von selbst gehosteten Wallets, sofern sie keinen Zugang zu oder keine Kontrolle über diese Krypto-Wallets haben.“^[1] Ein Erwägungsgrund ist kein operativer Artikel, zeigt aber, wo das Verbot enden sollte.

Eigentümer und Begünstigte bestehender anonymer Konten „unterliegen den Sorgfaltspflichten gegenüber Kunden, bevor diese Konten, Sparbücher oder Schließfächer in irgendeiner Weise genutzt werden.“^[1]

Selbst gehostete Adressen und Korrespondenzbeziehungen: die verstärkten Maßnahmen

Verstärkte Sorgfaltspflichten gelten unter anderem in den Artikeln 36 bis 46.^[1] Zwei sind für CASPs geschrieben: Korrespondenzbeziehungen (Artikel 37) und Übertragungen, die selbst gehostete Adressen betreffen (Artikel 40).

Artikel 40(1)Verordnung (EU) 2024/1624

„ermitteln und beurteilen das Risiko [...], das mit dem Transfer von Krypto-Assets an oder von einer selbst gehosteten Adresse verbunden ist“

Quelle: EUR-Lex, Verordnung (EU) 2024/1624^[1]

Die mindernden Maßnahmen „umfassen eine oder mehrere der folgenden Maßnahmen“: risikobasierte Maßnahmen zur Identifizierung und Überprüfung des Auftraggebers oder Begünstigten der Übertragung, zusätzliche Informationen über den Ursprung und das Ziel der Krypto-Assets, verstärkte laufende Überwachung oder jede andere Maßnahme.^[1] Eine ähnliche Regelung ist bereits in Kraft. Gemäß Artikel 14(5) und 16(2) der TFR muss der CASP bei einer Übertragung „über 1 000 EUR“ an oder von einer selbst gehosteten Adresse „geeignete Maßnahmen ergreifen, um zu beurteilen, ob diese Adresse dem Auftraggeber oder Begünstigten gehört oder von diesem kontrolliert wird.“^[2]

Die AMLA muss bis zum 10. Juli 2027 Leitlinien zu diesen Maßnahmen erlassen.^[1] Wir haben auf der Website der AMLA mit Stand vom 2. Oktober 2026 keinen Entwurf gefunden,^[6] so dass deren Inhalt noch nicht bekannt ist.

Für Korrespondenzbeziehungen verlangt Artikel 37 von einem CASP, zusätzlich zu den Maßnahmen, die für andere Finanzinstitute gelten, festzustellen, ob das Korrespondenzinstitut zugelassen oder registriert ist, und seine Informationen regelmäßig oder bei Auftreten neuer Risiken zu aktualisieren. Gemäß Artikel 39 müssen CASPs sicherstellen, dass ihre Konten nicht von Scheininstituten genutzt werden.^[1]

Für Finanzinstitute wird die Sanktionsprüfung „bei jeder neuen Benennung im Zusammenhang mit gezielten finanziellen Sanktionen“ wiederholt,^[1] und der endgültige Entwurf der technischen Regulierungsstandards der AMLA erweitert das Screening auf „digitale Wallet-Adressen“, sofern diese in den Listen enthalten sind.^[4]

AMLR für Krypto neben MiCA und der Travel Rule

Drei EU-Verordnungen treffen in den Onboarding- und Transferprozessen eines CASP zusammen. Jede beantwortet eine andere Frage.

Was jede Verordnung für einen CASP regelt.^[1][2]

Die AMLR benennt ihr eigenes Paket: Zusammen mit der Richtlinie, der TFR und der Verordnung, die die AMLA schafft, bildet sie „den Rechtsrahmen für die AML/CFT-Anforderungen, die von den Verpflichteten zu erfüllen sind“.^[1] Die MiCA ist nicht in dieser Liste enthalten. Was die MiCA und die Travel Rule verlangen, finden Sie in unseren Leitfäden zum MiCA Compliance Stack für CASPs und zur Travel Rule für EU-Kryptoanbieter. Bis die eigenen Instrumente der AMLA in Kraft treten, gelten weiterhin die Travel Rule Guidelines der Europäischen Bankenaufsichtsbehörde.^[6]

Ein CASP-Onboarding und eine erste Übertragung, Schritt für Schritt

Der Ablauf folgt einem Privatkunden von der Kontoeröffnung bis zur ersten Auszahlung.

Onboarding und eine erste Übertragung bei einem CASP gemäß der AMLR und der TFR.^[1][2]

Was nach der ersten Übertragung geschieht, wird in Laufende Überwachung gemäß Artikel 26 behandelt.

AMLA-Direktaufsicht und große grenzüberschreitende CASPs

Die AMLA wird nicht jeden CASP beaufsichtigen. Ab 2028 wird sie eine ausgewählte Gruppe direkt beaufsichtigen,^[8] und die nationalen Aufsichtsbehörden behalten ihre Rolle für alle anderen.^[11]

Berechtigt sind Kredit- und Finanzinstitute sowie Gruppen, die "in mindestens sechs Mitgliedstaaten, einschließlich des Heimatmitgliedstaates", tätig sind und deren Restrisikoprofil "als hoch eingestuft wurde". Wenn in der ersten Runde mehr als 40 qualifiziert sind, wählt die AMLA "die 40 Verpflichteten oder Gruppen aus, die in der höchsten Anzahl von Mitgliedstaaten tätig sind". Die erste Auswahl beginnt bis zum 1. Juli 2027.^[7]

Eine ausgewählte Gruppe würde der AMLA unterstellt sein, deren Grundstrafe für schwerwiegende CDD-Verstöße, die in zwei oder mehr Mitgliedstaaten festgestellt wurden, „mindestens EUR 500 000“ beträgt.^[7] Für andere CASPs gelten nationale Strafen. Für Finanzinstitute muss das nationale Maximum mindestens EUR 10 000 000 oder 10 % des jährlichen Gesamtumsatzes betragen.^[12] In jedem Fall müssen die Verpflichteten „ihren Aufsichtsbehörden jederzeit nachweisen können, dass die getroffenen Maßnahmen im Hinblick auf die Risiken angemessen sind“.^[1] Mehr dazu in unserem Leitfaden zur AMLA.

Wie Didit einem CASP hilft, diese Pflichten zu erfüllen

Didit liefert die Prüfungen und Nachweise für die oben genannten Pflichten in einem Workflow, wobei pro Prüfung abgerechnet wird. Die artikelweise Zuordnung finden Sie auf der AMLR-Lösungsseite, und die Integrationsschritte sind im AMLR-Leitfaden in den Docs beschrieben.

Die Identitätsprüfung deckt über 220 Länder und Gebiete ab, und eine vollständige KYC-Prüfung kostet 0,33 $. Für den eID-Weg umfassen die in Produktion befindlichen digitalen ID-Wallets MitID, Smart-ID und BankID Schweden. Die Unterstützung für die EUDI Wallet kommt bald. Das AML-Screening deckt über 1.300 Sanktionen, PEP- und Beobachtungslisten ab, zu Kosten von 0,20 $ pro Prüfung, und die laufende Überwachung führt täglich erneute Prüfungen für 0,07 $ pro Person und Jahr durch.

Das Transaktionsmonitoring führt Echtzeitregeln für Fiat und Krypto aus, mit Warnmeldungen, Fallmanagement und Vorbereitung von FIU-Berichten. Das Wallet-Screening ist darin integriert. Die Travel Rule-Nachrichtenübermittlung wird auf der Krypto-Travel Rule-Seite beschrieben, und andere Preise finden Sie auf der Preisseite.

Didit übernimmt die Entscheidungen des CASP nicht. Gemäß Artikel 18 bleibt der Verpflichtete „uneingeschränkt haftbar“, und sechs Aufgaben können niemals ausgelagert werden.^[1] Siehe AMLR Artikel 18: Was Sie auslagern können.

Häufig gestellte Fragen

Quellen

1. Verordnung (EU) 2024/1624 (AMLR), EUR-Lex, Amtsblatt vom 19. Juni 2024.
2. Verordnung (EU) 2023/1113 (TFR, Geld- und Kryptowertetransfers), EUR-Lex.
3. Abschlussbericht, Entwurf technischer Regulierungsstandards gemäß Artikel 19 Absatz 9 AMLR, AMLA, angekündigt am 1. Oktober 2026.
4. Abschlussbericht, Entwurf technischer Regulierungsstandards gemäß Artikel 28 Absatz 1 AMLR, AMLA, 30. September 2026.
5. AMLA finalisiert Schlüsselstandards für den Privatsektor, Pressemitteilung der AMLA, 1. Oktober 2026.
6. Verzeichnis der Regulierungsinstrumente, AMLA, letzte Aktualisierung 30. September 2026.
7. Verordnung (EU) 2024/1620 (die AMLA-Verordnung), EUR-Lex.
8. AMLA macht wichtigen Schritt zur harmonisierten EU-Aufsicht, AMLA.
9. AMLA macht nächsten Schritt zur Auswahl von Unternehmen für die direkte Aufsicht im Jahr 2027, AMLA.
10. Bekämpfung der Geldwäsche: Rat verabschiedet Regelungspaket, Rat der EU, 30. Mai 2024.
11. Häufig gestellte Fragen, AMLA.
12. Richtlinie (EU) 2024/1640 (AMLD6), EUR-Lex.
13. AMLA konsultiert Entwurf von Leitlinien zur laufenden Überwachung von Geschäftsbeziehungen, AMLA, 3. Juni 2026.

Die Anforderungs-für-Anforderung-Übersicht mit dem jeweiligen Artikel finden Sie auf der AMLR-Lösungsseite.