KYC und AML bei Krypto 2026: BaFin, AMLA und die Regeln

Im oberen Drittel eines Frankfurter Hochhauses arbeitet seit dem 1. Juli 2025 eine Behörde, von der die meisten Krypto-Nutzer noch nie gehört haben, die ihr Onboarding, ihre Auszahlungen und womöglich bald ihre Privatsphäre prägen wird: die Anti-Money Laundering Authority, kurz AMLA. Zum ersten Mal bekommt die Europäische Union eine zentrale Aufsicht gegen Geldwäsche, und ihr Sitz steht auf deutschem Boden. Ihre Vorsitzende, die Italienerin Bruna Szego, hat eine unbequeme Botschaft im Gepäck: Das Regelwerk für Krypto war noch nie so dicht, und trotzdem, warnt sie, könnte Geldwäsche kurzfristig schwerer zu fassen sein als zuvor.

Für eine Branche, die mit dem Versprechen der Selbstbestimmung angetreten ist, sind KYC (Know Your Customer) und AML (Anti-Money Laundering) der unromantischste Teil der Geschichte. Und der folgenreichste. Jedes Mal, wenn jemand ein Konto bei einer deutschen oder europäischen Krypto-Börse eröffnet, den Ausweis vor die Kamera hält und auf die Freischaltung wartet, berührt er diese Maschinerie. Bei einem Bitcoin-Kurs von rund 65.800 Euro Ende August 2026 und einem Markt, der wieder Milliarden anzieht, ist die Frage, wer hier eigentlich wen kontrolliert, längst keine akademische mehr.

Dieser Text erklärt, wie KYC und AML bei Krypto in Deutschland und der EU im Jahr 2026 tatsächlich funktionieren: welche Behörden zuständig sind, was bei der Kontoeröffnung wirklich passiert, welche Pflichten Anbieter treffen, was sich 2027 ändert, warum eine Rekord-Strafwelle über die Branche rollt und ob das alles überhaupt hält, was es verspricht.

Was KYC und AML wirklich bedeuten

In der Alltagssprache werden die beiden Begriffe durcheinandergeworfen, dabei bezeichnen sie zwei verschiedene Dinge. AML ist der Oberbegriff: das gesamte rechtliche und operative System, das verhindern soll, dass das Finanzsystem zum Waschen krimineller Erlöse oder zur Terrorfinanzierung genutzt wird. KYC ist nur ein Baustein davon, nämlich der Prozess, mit dem ein Anbieter feststellt und überprüft, wer sein Kunde ist. Wer „KYC“ sagt, meint oft die ganze Compliance-Abteilung; genau genommen ist KYC die Identität, AML die größere Maschine aus Risikobewertung, Überwachung, Meldewesen, Sanktionsprüfung und Governance.

Warum existiert das Ganze? Geldwäsche macht schmutziges Geld in drei Phasen sauber. In der Platzierung gelangt Bargeld ins System. In der Verschleierung (im Fachjargon Layering) wird es durch möglichst viele Stationen geschleust, um die Spur zu kappen. In der Integration kehrt es als scheinbar legitimes Vermögen zurück. Krypto ist bei der Platzierung am schwächsten, denn der Umtausch von Euro in Coins läuft über wenige Ein- und Ausstiegspunkte, und genau dort sitzt die KYC-Prüfung. Am stärksten ist Krypto beim Layering: schnelle Sprünge über Ketten hinweg, Mixer, Bridges.

Die gesamte Architektur folgt deshalb einer einfachen Idee: Menschen an den Türen identifizieren (an den On- und Off-Ramps, den Börsen und Verwahrern), die Ströme beobachten und die auffälligen melden. Alles andere ist Detail. Der Rest dieses Textes buchstabiert dieses Detail für den deutschen und europäischen Kontext aus.

Warum Krypto als erhöhtes Risiko gilt

Aufseher behandeln Krypto nicht deshalb streng, weil es digital ist, sondern wegen dreier Eigenschaften. Erstens die Pseudonymität: Adressen sind keine Klarnamen, auch wenn die Kette öffentlich einsehbar ist. Zweitens die Geschwindigkeit und Grenzenlosigkeit: Werte springen in Minuten über Ketten und Jurisdiktionen hinweg, während eine klassische Auslandsüberweisung Tage braucht und durch mehrere Banken läuft. Drittens die Programmierbarkeit: Mixer, Bridges und dezentrale Börsen lassen sich ohne menschlichen Mittelsmann aneinanderreihen. Diese Mischung macht das Layering, die zweite Phase der Geldwäsche, technisch bequem.

Genau deshalb konzentriert sich die Aufsicht auf die Ein- und Ausstiegspunkte, an denen Euro auf Coins trifft. Dort sitzt der Hebel, dort greift KYC am wirksamsten. Wichtig ist die Einordnung: Krypto ist nicht das größte Geldwäsche-Vehikel der Welt, denn Bargeld und der klassische Bankensektor bewegen ungleich mehr, aber es ist das am schnellsten wachsende und politisch am stärksten beleuchtete. Der Streit dreht sich deshalb weniger um das Ob der Kontrolle als um ihr Ausmaß.

Wer in Deutschland reguliert: BaFin, FIU und das Geldwäschegesetz

Das deutsche Fundament ist das Geldwäschegesetz (GwG), das die EU-Vorgaben in nationales Recht umsetzt. Es benennt die sogenannten Verpflichteten: Banken, Versicherer, Notare, Immobilienmakler, Händler hochwertiger Güter und, entscheidend für dieses Thema, Krypto-Dienstleister. Wer als Verpflichteter gilt, muss ein ganzes Pflichtenpaket erfüllen, von der Kundenidentifizierung bis zur Verdachtsmeldung.

Die Aufsicht über die Einhaltung dieser Pflichten liegt im Finanzsektor bei der BaFin. Sie kann prüfen, anordnen und Bußgelder verhängen, die bei schwerwiegenden oder systematischen Verstößen empfindlich ausfallen. Wichtig ist, dass die BaFin hier zwei Hüte trägt: Nach dem Kryptomärkteaufsichtsgesetz (KMAG) erteilt sie die MiCA-Lizenzen für Krypto-Dienstleister, nach dem GwG beaufsichtigt sie deren Geldwäsche-Compliance. Es sind zwei getrennte Regelkreise, auch wenn dieselbe Behörde beide bedient.

Die Verdachtsmeldungen selbst landen nicht bei der BaFin, sondern bei der Financial Intelligence Unit (FIU), die in Deutschland bei der Generalzolldirektion angesiedelt ist. Die FIU sammelt, analysiert und leitet an die Strafverfolgung weiter. Seit dem 1. März 2026 müssen Meldungen verbindlich über das FIU-Portal goAML im XML-Format eingereicht werden. Innerhalb eines Unternehmens muss zudem ein Geldwäschebeauftragter bestellt werden; interne Kontrollen, Schulungen, eine unabhängige Prüfung und ein risikobasierter Ansatz sind Pflicht, ebenso die Feststellung des wirtschaftlich Berechtigten über das Transparenzregister.

Ein häufiges Missverständnis lohnt die Klarstellung: Geldwäscheaufsicht ist nicht dasselbe wie Marktaufsicht. In den USA verwechseln viele die Börsenaufsicht SEC mit der Geldwäsche-Zuständigkeit; die liegt dort bei FinCEN und, für Sanktionen, beim OFAC. In Deutschland vereint die BaFin beides, aber unter verschiedenen Gesetzen, und die FIU ist eine eigene Stelle. Sanktionslisten wiederum stammen von EU und UN. Diese Zuständigkeiten auseinanderzuhalten, erspart viel Verwirrung.

Der Onboarding-Flow: von der Identifizierung zur Dauerüberwachung

Was passiert eigentlich, wenn man ein Konto eröffnet? Der Ablauf hat vier Stufen. Zuerst die Identifizierung: Der Kunde legt ein amtliches Ausweisdokument vor und weist nach, dass er ein lebender Mensch ist, per Video-Ident, Foto-Ident, über die eID-Funktion des Personalausweises oder zunehmend per Selfie mit Lebenderkennung (Liveness-Check).

Es folgt die Verifizierung, bei der das Dokument auf Echtheit geprüft und dem Kunden zugeordnet wird. Dritte Stufe ist das Screening: Der Name läuft gegen Sanktionslisten, gegen Datenbanken politisch exponierter Personen (PEP) und gegen negative Presseberichte (Adverse Media). Vierte Stufe ist die laufende Überwachung: Nach dem Onboarding werden Transaktionen gegen ein Risikoprofil abgeglichen, Auffälligkeiten lösen eine Prüfung aus.

Die wenigsten Börsen bauen diese Kette selbst. Sie kaufen sie von spezialisierten Anbietern wie IDnow, Sumsub, Jumio, Onfido oder Persona ein, die Dokumentenprüfung, Biometrie und Sanktionsabgleich als Dienst liefern. Jeder Kunde erhält einen Risiko-Score, der bestimmt, wie viel Reibung er zu spüren bekommt. Das ist die Maschinerie, die man als Nutzer direkt erlebt; der weitaus größere Teil bleibt unsichtbar.

Doch KYC ist nur so gut wie die Prüfung selbst, und die gerät zunehmend unter Druck. KI-generierte Ausweisdokumente, synthetische Identitäten und Deepfake-Videos fordern die Liveness-Erkennung heraus; was gestern als sicherer Nachweis galt, lässt sich heute mit erschwinglicher Software fälschen. Anbieter rüsten deshalb mit Injektionserkennung, Geräteanalyse und wiederholten Prüfungen nach. Die Identitätsprüfung ist zu einem Wettrüsten geworden, bei dem die Verteidigung selten dauerhaft vorne liegt.

Sorgfaltspflichten: CDD, EDD und der risikobasierte Ansatz

Nicht jeder Kunde wird gleich behandelt, und das ist Absicht. Der risikobasierte Ansatz staffelt die Prüftiefe nach dem Geldwäscherisiko. Das GwG kennt drei Stufen.

Ausgelöst wird die verstärkte Prüfung (Enhanced Due Diligence) etwa durch den PEP-Status eines Kunden, durch Bezüge zu Hochrisikoländern, durch ungewöhnlich komplexe Transaktionen oder durch Interaktionen mit nicht-verwahrten Wallets. Dann verlangt der Anbieter Nachweise über die Herkunft von Mitteln und Vermögen, holt eine Freigabe der Geschäftsleitung ein und überwacht enger.

Bei Firmenkunden kommt die Feststellung des wirtschaftlich Berechtigten hinzu, also der natürlichen Person hinter der Gesellschaft. Genau hier setzt das Transparenzregister an, das die Eigentümerketten sichtbar machen soll. Der risikobasierte Ansatz bedeutet nicht, dass jemand ungeprüft bleibt; er bedeutet, dass die Ressourcen dorthin fließen, wo das Risiko am größten ist.

Verdachtsmeldung, Sanktionslisten und das Tipping-off-Verbot

Ergibt sich ein Verdacht auf Geldwäsche oder Terrorfinanzierung, muss der Verpflichtete eine Verdachtsmeldung nach § 43 GwG an die FIU abgeben. Anders als bei manchen Meldeschwellen im Ausland gibt es hier keinen Mindestbetrag; ein tatsächlicher Anhaltspunkt genügt. Die Meldung ist kein Schuldspruch, sondern ein Signal, dem die FIU nachgeht.

Zwei Regeln flankieren das. Erstens das Tipping-off-Verbot (§ 47 GwG): Der Anbieter darf den Kunden nicht darüber informieren, dass über ihn gemeldet wurde; ein Verstoß ist strafbar. Zweitens die Sanktionsprüfung: Namen und Wallet-Adressen werden gegen EU- und UN-Sanktionslisten abgeglichen (bei global tätigen Häusern faktisch auch gegen die OFAC-Listen der USA), Treffer werden eingefroren.

Unterlagen werden in der Regel fünf Jahre aufbewahrt. Wie ernst der Staat das nimmt, zeigt ein Detail, das im weiteren Verlauf wiederkehrt: Die weltgrößte Börse Binance hat über Jahre keine einzige Verdachtsmeldung eingereicht, obwohl das Gesetz sie dazu verpflichtet hätte. Genau dieses Versäumnis wurde später zum teuersten der Branchengeschichte.

Die EU-Architektur: AMLR, AMLA und die TFR

Über dem deutschen Recht baut die EU gerade ein einheitliches Regelwerk. Bisher galten 27 nationale Ansätze; künftig soll ein gemeinsames Fundament greifen. Es ruht auf mehreren Säulen.

• AMLR (Verordnung (EU) 2024/1624): ein unmittelbar geltendes Einheitsregelwerk, das ab dem 10. Juli 2027 voll wirksam wird und Sorgfaltspflichten, wirtschaftlich Berechtigte, Bargeldgrenzen und Krypto-Regeln vereinheitlicht.
• AMLD6: eine begleitende Richtlinie mit organisatorischen und institutionellen Vorgaben, die die Mitgliedstaaten bis zum selben Datum umsetzen.
• AMLA (Frankfurt): die neue EU-Behörde, seit dem 1. Juli 2025 im Dienst; sie koordiniert die nationalen FIUs und Aufseher und wird ab 2028 bis zu 40 der risikoreichsten grenzüberschreitenden Institute, darunter große Krypto-Dienstleister, direkt beaufsichtigen.
• TFR (Verordnung (EU) 2023/1113): die EU-Fassung der Travel Rule, in Kraft seit dem 30. Dezember 2024.

Ihre Vorsitzende Bruna Szego beschreibt den Kern des Projekts als Ablösung von 27 nationalen Regelbüchern durch eines. Die folgende Zeitleiste ordnet die wichtigsten Daten für den Krypto-Bereich.

Für Deutschland ist die AMLA mehr als eine Brüsseler Abkürzung. Sie wird die nationalen Aufseher nicht ersetzen, aber sie setzt einheitliche Standards, führt gemeinsame Aufsichtsteams und kann bei den größten grenzüberschreitenden Anbietern selbst durchgreifen. Für einen Krypto-Dienstleister mit Kunden in mehreren EU-Ländern heißt das: weniger Spielraum, sich die mildeste nationale Auslegung auszusuchen, ein Muster, das die Aufsicht in der Vergangenheit als Regulierungsarbitrage kritisiert hat.

Die Travel Rule ohne Schwelle

Die Travel Rule ist im Kern simpel und in der Umsetzung heikel. Bei jeder Überweisung von einem Krypto-Dienstleister zu einem anderen müssen vollständige Angaben zu Auftraggeber und Empfänger mitreisen, so wie sie im klassischen Zahlungsverkehr eine Überweisung begleiten. Die EU hat sich für die strengste Variante weltweit entschieden: eine Nullschwelle für Krypto. Während für klassische Geldtransfers eine Bagatellgrenze von 1.000 Euro gilt und die internationale FATF eine Schwelle von rund 1.000 Dollar oder Euro empfiehlt, ist bei Krypto jede Überweisung erfasst, unabhängig vom Betrag.

Technisch werden die Daten in einem standardisierten Format (IVMS 101) ausgetauscht. Der Haken ist das sogenannte Sunrise-Problem: Die Regel funktioniert nur, wenn beide Enden mitspielen. Geht eine Überweisung an einen nicht regulierten oder ausländischen Anbieter, der die Daten nicht entgegennimmt, reißt die Kette. Wie tief dieses Problem reicht und warum weltweit viele Aufseher die Regel zwar erlassen, aber kaum durchsetzen, hat HOGE Wire in der Analyse zur FATF und der Durchsetzungslücke ausgeleuchtet.

Für nicht-verwahrte Wallets (self-hosted oder unhosted) gilt eine Besonderheit: Bei Transfers ab 1.000 Euro von oder zu einer solchen Wallet über einen Dienstleister muss dieser nachweisen oder plausibilisieren, dass der Kunde die Wallet auch kontrolliert. Das private Halten und Versenden zwischen eigenen Wallets bleibt erlaubt; die Pflicht trifft den Dienstleister an der Schnittstelle, nicht den Nutzer in seiner eigenen Verwahrung.

Das Verbot anonymer Konten und Privacy Coins ab 2027

Der wohl umstrittenste Teil der neuen Ordnung steht in Artikel 79 der AMLR. Ab dem 10. Juli 2027 dürfen Krypto-Dienstleister keine anonymen Konten mehr führen und keine sogenannten anonymitätssteigernden Coins mehr halten oder anbieten. Gemeint sind Privacy Coins wie Monero oder Zcash, deren Design Transaktionsdaten verschleiert. Faktisch werden sie damit von regulierten EU-Plattformen verschwinden.

Wichtig ist die Reichweite: Das Verbot richtet sich an die Anbieter, nicht an Privatpersonen. Wer Monero selbst verwahrt und zwischen eigenen Wallets bewegt, tut das weiterhin legal; nur die regulierten Börsen verlieren die Möglichkeit, solche Coins zu listen. Parallel führt die AMLR eine EU-weite Bargeldobergrenze von 10.000 Euro ein, was in Deutschland spürbar ist, weil es hier bislang keine allgemeine Grenze gibt.

Hier verläuft die eigentliche Bruchlinie der Debatte. Für Kritiker ist das anlasslose Erfassen von Zahlungsdaten Massenüberwachung; für die Aufsicht schließt es genau die Anonymität, die das Layering ausnutzt. Deutsche Leser mit ausgeprägtem Datenschutzinstinkt sitzen mitten auf dieser Linie.

Die Bargeldgrenze von 10.000 Euro trifft dabei einen besonders empfindlichen deutschen Nerv. Anders als viele EU-Nachbarn kennt Deutschland bislang keine allgemeine Obergrenze für Barzahlungen, und Bargeld gilt hier als Stück gelebter Freiheit. Dass ausgerechnet eine EU-Verordnung diese Grenze zieht und parallel die Anonymität im Digitalen schließt, verbindet zwei Debatten, die sonst getrennt laufen: die um das Bargeld und die um die finanzielle Privatsphäre im Netz.

Und es gibt eine Grenze der Reichweite: Wo kein Anbieter sitzt, läuft die Logik der Verpflichteten ins Leere. Bei echter Selbstverwahrung oder bei stark dezentralisierten Protokollen, etwa im Liquid Staking rund um Lido, Rocket Pool und Frax, gibt es niemanden, an den sich die KYC-Pflicht heften ließe. Die Grenze der Geldwäscheaufsicht ist die Grenze der Vermittlung.

Warum MiCA keine Geldwäsche-Regel ist

Ein Missverständnis hält sich hartnäckig: Eine MiCA-Lizenz sei ein Geldwäsche-Gütesiegel. Ist sie nicht. MiCA regelt Marktverhalten, Zulassung und aufsichtsrechtliche Anforderungen von Krypto-Dienstleistern und Emittenten; die Geldwäsche sitzt getrennt davon in AMLR, AMLA, TFR und dem nationalen GwG. Ein Anbieter braucht beides. Die BaFin stellt in ihrem Merkblatt klar, dass sie die Dienstleister und Emittenten beaufsichtigt, nicht das Protokoll selbst. Wie Deutschland MiCA umsetzt und warum es dabei einen Sonderweg gegangen ist, hat HOGE Wire in einer eigenen Analyse zu BaFin und den CASP-Lizenzen beschrieben.

2026 kommt eine unbequeme Wendung hinzu. Mit dem Ende der MiCA-Übergangsfristen (in Deutschland zum 31. Dezember 2025, EU-weit zum 1. Juli 2026) mussten nicht lizenzierte Anbieter den Markt verlassen, und Kunden wanderten in Scharen zu lizenzierten Häusern. Genau diese Wanderung ist selbst ein Risiko. Vor dem gemeinsamen Ausschuss ECON und LIBE des Europäischen Parlaments warnte AMLA-Chefin Bruna Szego am 15. Juli 2026, abziehende Kunden setzten die ausscheidenden Anbieter unter Druck: „Wir wissen, dass Kunden ihre Guthaben überstürzt abziehen werden; das setzt diese Anbieter zusätzlich unter Druck.“ Zugleich träfen die aufnehmenden, lizenzierten Plattformen plötzlich auf einen Ansturm neuer Nutzer, der ihre KYC- und AML-Prozesse strapaziere.

Szego kündigte an, die AMLA werde noch vor Jahresende 2026 einen Bericht vorlegen, der die Geldwäscherisiken im Kryptosektor und die tatsächliche Aufsichtspraxis der Mitgliedstaaten vergleicht. Ihre Kernaussage ist so paradox wie ehrlich: mehr Regeln, und kurzfristig womöglich mehr Risiko, weil die Migration Lücken öffnet, bevor das neue System sie schließt.

Die Enforcement-Welle: Binance, OKX und die Botschaft

Dass Geldwäscheregeln keine Formsache sind, hat eine Strafwelle bewiesen, die ihresgleichen sucht. Im November 2023 einigte sich Binance, die größte Börse der Welt, mit den US-Behörden auf über 4,3 Milliarden US-Dollar (rund 3,7 Milliarden Euro), damals der größte Vergleich der Krypto-Geschichte. FinCEN verhängte allein eine zivilrechtliche Strafe von 3,4 Milliarden Dollar, Gründer Changpeng Zhao bekannte sich schuldig, zahlte persönlich 50 Millionen Dollar und trat als CEO zurück; über Jahre hatte Binance keine einzige Verdachtsmeldung abgegeben.

Der damalige US-Justizminister Merrick Garland fasste die Botschaft in einen Satz, der die ganze Enforcement-Philosophie trägt: „Neue Technologie zu nutzen, um das Gesetz zu brechen, macht niemanden zum Vordenker. Es macht ihn zum Kriminellen.“ (justice.gov). Gut ein Jahr später, im Februar 2025, bekannte sich die Börse OKX schuldig und akzeptierte über 504 Millionen Dollar an Strafen; sie hatte über sieben Jahre hinweg Transaktionen im Volumen von mehr als einer Billion Dollar abgewickelt, ohne die nötige Lizenz und lange ohne KYC für Privatkunden.

Die Fälle stehen für eine Verschiebung: Geldwäsche hat die Wertpapierfragen als größtes regulatorisches Risiko der Branche abgelöst. Im ersten Halbjahr 2025 schnellten die weltweiten AML-, KYC- und Sanktionsstrafen gegen Finanzinstitute in die Höhe; der Ton ist gesetzt, und die europäischen Aufseher schauen genau hin.

Funktioniert das System überhaupt?

Bleibt die unbequemste Frage: Bringt es etwas? Die Zahlen sind zwiespältig. Der Crypto Crime Report 2026 von Chainalysis schätzt, dass illegale Adressen 2025 mindestens 154 Milliarden Dollar erhielten, ein Plus von 162 Prozent, getrieben vor allem von Sanktionsumgehung. Zugleich bleibt der illegale Anteil am gesamten On-Chain-Volumen unter einem Prozent. Auffällig: Stablecoins tragen inzwischen rund 84 Prozent des illegalen Transaktionswerts, der Wert bei sanktionierten Akteuren stieg um 694 Prozent.

Hinter der Durchsetzung steht eine eigene Industrie: Blockchain-Analytik. Firmen wie Chainalysis, Elliptic und TRM Labs verknüpfen Adressen zu Clustern, ordnen sie Börsen, Mixern oder sanktionierten Akteuren zu und liefern Risiko-Scores, auf die sich Banken, Börsen und Ermittler stützen. Wichtig ist die Einschränkung: Diese Scores sind Wahrscheinlichkeiten, kein Beweis, und Privacy Coins wie Monero brechen die Cluster-Analyse gezielt auf. Die Transparenz der Blockchain ist Fluch und Segen zugleich, sie macht Spuren sichtbar, aber eben nur, solange keine Verschleierungstechnik dazwischenliegt.

Kritiker ziehen daraus einen scharfen Schluss. Peter Van Valkenburgh von der Denkfabrik Coin Center argumentiert, das bestehende AML- und KYC-Regime leiste „bemerkenswert wenig, um illegale Finanzströme zu verhindern“, während es enorme Kosten und Eingriffe in die Privatsphäre verursache; allein in den USA lägen die Compliance-Kosten bei über 26 Milliarden Dollar im Jahr.

Dazu kommt ein Risiko, das KYC selbst erzeugt: den Honeypot. Wer Millionen Ausweise, Adressen und Selfies speichern muss, schafft ein begehrtes Ziel. Im Mai 2025 bestach eine kriminelle Gruppe ausländische Support-Dienstleister von Coinbase und erbeutete Daten von rund 69.461 Kunden; die Börse lehnte eine Lösegeldforderung von 20 Millionen Dollar ab, lobte stattdessen ein Kopfgeld in gleicher Höhe aus und bezifferte die Aufräumkosten auf 180 bis 400 Millionen Dollar. Für datenschutzbewusste Nutzer ist das der Kern des Dilemmas: Dieselben Daten, die den Regulierer zufriedenstellen, werden zur Hypothek, sobald sie abfließen.

Die Zukunft: wiederverwendbare Identität und Zero-Knowledge-KYC

Die Antwort, auf die fast alle zeigen, lautet: einmal prüfen, mehrfach nutzen und dabei weniger preisgeben. Mit eIDAS 2.0 verpflichtet die EU ihre Mitgliedstaaten, bis Ende 2026 digitale Identitäts-Wallets (EUDI Wallets) bereitzustellen. Dahinter steht das Modell der überprüfbaren Nachweise (Verifiable Credentials) mit dem Dreieck aus Aussteller, Inhaber und Prüfer: Eine Stelle bestätigt ein Merkmal einmal, der Nutzer trägt es in seiner Wallet, ein Dritter prüft es, ohne die Rohdaten zu sehen.

Der nächste Schritt ist Zero-Knowledge-KYC: der Nachweis eines Merkmals („über 18“, „nicht sanktioniert“, „von einem lizenzierten Anbieter geprüft“), ohne die zugrunde liegenden Dokumente herauszugeben. Hier trifft Datenschutztechnik auf Compliance. Dieselbe kryptografische Maschinerie, die verifizierbare und zugleich vertrauliche Berechnungen ermöglicht (etwa im Ansatz von Ritual) oder die Korrektheit über Betrugsbeweise absichert (wie bei opML), könnte einem Nutzer erlauben, den Nachweis „Ich habe KYC bestanden“ zu führen, ohne den Reisepass erneut offenzulegen.

Damit der Staat nicht blind wird, arbeiten viele Entwürfe mit einem Break-Glass-Mechanismus: Die Privatsphäre ist der Normalzustand, aber bei einem gerichtlich gedeckten Verdacht lässt sich eine Spur nachträglich öffnen. Noch ist das Zukunftsmusik; Standards, Haftungsfragen und die Frage, wer das Vertrauen kuratiert, sind ungelöst. Doch die Richtung ist klar: weniger Datenhalden, mehr Beweise.

Eng verwandt ist die Frage nach dem Nachweis der Einzigartigkeit, im Fachjargon Proof of Personhood: Wie stellt man sicher, dass hinter einem geprüften Konto genau ein Mensch steht und nicht tausend automatisierte Scheinidentitäten, ohne diesen Menschen vollständig zu deanonymisieren? Biometrische Ansätze versprechen genau das, werfen aber neue Datenschutzfragen auf, weil sich biometrische Merkmale, anders als ein Passwort, nicht zurücksetzen lassen. Auch hier gilt: Die Technik ist vielversprechend, die gesellschaftliche Aushandlung steht erst am Anfang.

Was das für Nutzer und Anbieter in Deutschland bedeutet

Für Nutzerinnen und Nutzer in Deutschland heißt das konkret: Bei Überweisungen zwischen Dienstleistern reisen Daten mit, ohne Bagatellgrenze. Wer eine eigene, nicht-verwahrte Wallet mit einer Börse verbindet, sollte ab 1.000 Euro mit einem Kontrollnachweis rechnen. Privacy Coins verschwinden ab Mitte 2027 von regulierten EU-Plattformen, bleiben in Selbstverwahrung aber legal. Ab 2027 gilt zudem eine Bargeldgrenze von 10.000 Euro. Und: Die eigenen Ausweisdaten sind schützenswert, denn Datenlecks passieren.

Für Anbieter bleibt die Pflichtenliste lang: einen Geldwäschebeauftragten bestellen, die goAML-Meldewege einrichten, risikobasierte CDD und EDD umsetzen, gegen Sanktions- und PEP-Listen screenen, die Travel Rule technisch bedienen und sich auf die AMLA einstellen, die ab 2028 die größten Häuser direkt aus Frankfurt beaufsichtigen wird.

Unterm Strich ist KYC/AML 2026 kein Randthema mehr, sondern die Statik des regulierten Kryptomarkts. Die Regeln sind so dicht wie nie, ihre Wirkung bleibt umstritten, und die spannendste Frage der kommenden Jahre ist nicht, ob geprüft wird, sondern wie viel man dafür preisgeben muss.

Häufig gestellte Fragen

Muss ich bei jeder deutschen Krypto-Börse meinen Ausweis hochladen?

In aller Regel ja. Lizenzierte Krypto-Dienstleister in Deutschland und der EU sind als Verpflichtete nach dem Geldwäschegesetz zur Kundenidentifizierung verpflichtet, bevor sie ein Konto vollständig freischalten. Üblich sind Video-Ident, Foto-Ident oder die eID des Personalausweises. Ohne diese Prüfung bleibt der Handel gesperrt oder stark eingeschränkt.

Was ist der Unterschied zwischen KYC und AML?

AML (Anti-Money Laundering) ist der Oberbegriff für das gesamte System gegen Geldwäsche, von der Risikobewertung über die Überwachung bis zur Verdachtsmeldung. KYC (Know Your Customer) ist ein Baustein davon, nämlich die Identifizierung und Überprüfung des Kunden. Kurz gesagt: KYC ist die Identität, AML die ganze Maschine dahinter.

Werden Monero und andere Privacy Coins in der EU verboten?

Nicht für Privatpersonen, aber für Anbieter. Ab dem 10. Juli 2027 dürfen regulierte Krypto-Dienstleister nach Artikel 79 der AMLR keine anonymitätssteigernden Coins mehr führen; Monero und Zcash verschwinden damit faktisch von regulierten EU-Plattformen. Das eigene Halten und Versenden in Selbstverwahrung bleibt legal.

Gilt die Travel Rule auch für kleine Krypto-Beträge?

In der EU ja. Die Transfer of Funds Regulation (TFR) schreibt seit dem 30. Dezember 2024 eine Nullschwelle für Krypto vor: Jede Überweisung zwischen Dienstleistern muss vollständige Angaben zu Auftraggeber und Empfänger enthalten, unabhängig vom Betrag. Das ist strenger als die 1.000-Euro-Bagatellgrenze im klassischen Zahlungsverkehr.

Wer kontrolliert in Deutschland die Geldwäsche-Aufsicht bei Krypto?

Die BaFin beaufsichtigt die Geldwäsche-Compliance der Krypto-Dienstleister, die Financial Intelligence Unit bei der Generalzolldirektion nimmt die Verdachtsmeldungen entgegen und wertet sie aus. Auf EU-Ebene koordiniert seit Juli 2025 die AMLA in Frankfurt, die ab 2028 die größten Institute direkt beaufsichtigen soll.

Von Anneke de Vries, Regulierungsredaktion, HOGE Wire.