Krypto-AML 2026: Was die Überwachung bringt und was sie kostet

Rekordbudgets, Rekordströme: das AML-Paradox 2026

Die Regeln gegen Geldwäsche im Kryptomarkt waren nie umfassender und nie teurer als 2026. Binance zahlte Ende 2023 über 4,3 Milliarden US-Dollar an US-Behörden, nachdem die Börse jahrelang keine einzige Verdachtsmeldung eingereicht hatte (US-Justizministerium). Die neue EU-Geldwäschebehörde AMLA sitzt seit Juli 2025 im Frankfurter Messeturm. Die Transfer of Funds Regulation zwingt Krypto-Dienstleister seit Ende 2024 zu einer Travel Rule ohne Bagatellgrenze, und ab dem 10. Juli 2027 verbietet die EU-Geldwäscheverordnung anonyme Konten und Privacy Coins. Die BaFin lizenziert, prüft und sanktioniert. Der Apparat läuft auf Anschlag.

Und trotzdem: Laut dem Krypto-Kriminalitätsbericht 2026 von Chainalysis flossen 2025 mindestens 154 Milliarden US-Dollar an illegale Adressen, ein Plus von 162 Prozent gegenüber dem Vorjahr, während der illegale Anteil weiterhin unter einem Prozent des gesamten On-Chain-Volumens liegt (Chainalysis). Mehr Aufsicht, mehr Meldungen, mehr Personal, und in absoluten Zahlen zugleich ein Rekord an illegalen Strömen. Genau dieser Widerspruch ist der Ausgangspunkt dieser Analyse.

Dieser Text ist kein Mechanik-Erklärstück; wie KYC-Onboarding, Sorgfaltspflichten und Verdachtsmeldungen im Detail funktionieren, haben wir an anderer Stelle beschrieben. Hier geht es um die schlichte, unbequeme Frage einer Kosten-Nutzen-Rechnung: Was bringt die wachsende Überwachung tatsächlich, und was kostet sie, in Euro, in Grundrechten und in verlorenem Vertrauen? Vor dem Hintergrund eines Bitcoin-Kurses um 69.000 Euro Ende August (CoinGecko) und einer Branche, die gerade eine Rally jenseits der Marke von 80.000 US-Dollar hinter sich hat, ist die Antwort mehr als eine akademische Übung.

Die kurze Version vorweg: Das System ist weder wirkungslos noch ein sauberer Erfolg. Es macht die Blockchain zum Beweismittel und ermöglicht Milliarden-Beschlagnahmen. Es produziert zugleich in Deutschland 374.693 Verdachtsmeldungen im Jahr, aus denen am Ende 1.669 justizielle Ergebnisse werden, es schafft Datenhalden, die selbst zur Beute werden, und es greift inzwischen nach der Selbstverwahrung. Der Reihe nach.

KYC, AML und die deutsche Zuständigkeit

Zwei Begriffe werden ständig verwechselt. KYC (Know Your Customer) ist nur der Identitätsbaustein: die Prüfung, wer hinter einem Konto steht. AML (Anti-Money Laundering) ist das Dach darüber, also das gesamte Geflecht aus Gesetzen und Kontrollen gegen Geldwäsche. KYC ist ein Teil von AML, nicht dessen Synonym, und wer beide gleichsetzt, unterschätzt regelmäßig, wie viel Aufwand hinter dem Konto liegt.

Geldwäsche läuft klassisch in drei Phasen: Platzierung (placement), Verschleierung (layering) und Integration. Krypto ist vor allem in der Verschleierungsphase stark, weil sich Werte schnell über viele Adressen, Chains und Dienste hinweg schichten lassen. Genau dort setzen die Kontrollen an, nämlich an den On- und Off-Ramps, wo Pseudonym und Identität aufeinandertreffen. Das ist der neuralgische Punkt, an dem sich später alles entscheidet.

In Deutschland ist die Zuständigkeit oft missverstanden. Für die Geldwäscheaufsicht sind die BaFin (nach dem Geldwäschegesetz) und die Financial Intelligence Unit bei der Generalzolldirektion verantwortlich, nicht eine Börsenaufsicht im Sinne der reinen Wertpapieraufsicht. Die BaFin trägt einen doppelten Hut: Sie lizenziert Krypto-Dienstleister nach dem MiCAR-Regime und beaufsichtigt zugleich deren Geldwäscheprävention. Seit dem 1. März 2026 müssen Verdachtsmeldungen zwingend über das Meldeportal goAML im XML-Format eingereicht werden, ein Detail, das gleich noch eine Rolle spielt.

Diese Architektur ist inzwischen ausbuchstabiert. Die spannende Frage ist nicht mehr, welche Pflicht in welchem Paragrafen steht, sondern ob das Gebäude hält, was es verspricht, und zu welchem Preis. Dafür lohnt es sich, zuerst die stärkste Seite des Systems ernst zu nehmen.

Die Nutzen-Seite: was die Blockchain den Ermittlern verrät

Fangen wir fair an, mit der stärksten Verteidigung des Systems. Die verbreitete Vorstellung, Krypto sei anonym, ist falsch. Öffentliche Blockchains sind pseudonym, und Pseudonymität ist nicht Anonymität. Jede Transaktion bleibt dauerhaft und öffentlich einsehbar. In Kombination mit KYC an den Handelsplätzen wird der Ledger zu einem Beweismittel, das Bargeld nie geboten hat.

Der Lehrbuchfall ist der Bitfinex-Hack. 2016 wurden der Börse rund 119.754 Bitcoin gestohlen. Im Februar 2022 beschlagnahmte das US-Justizministerium daraus 3,6 Milliarden US-Dollar, die damals größte Finanzbeschlagnahme seiner Geschichte, und verhaftete das Ehepaar Ilya Lichtenstein und Heather Morgan (Bloomberg). Möglich wurde das gerade wegen der Transparenz der Blockchain: Sobald die Coins in Bewegung gerieten und ins traditionelle Bankensystem sickerten, ließ sich die Spur bis in die reale Welt verfolgen.

Diese Nachverfolgbarkeit ist heute eine Industrie. Firmen wie Chainalysis, Elliptic und TRM Labs clustern Adressen und verknüpfen sie über regulierte Börsen mit Identitäten; ein Großteil der US-Strafverfolgungsbehörden nutzt solche Werkzeuge. Chainalysis-Mitgründer Jonathan Levin bringt die Selbstbeschreibung der Branche auf den Punkt: Man sei da, „to prevent abuse and pave the way for all people, businesses and governments to leverage it safely“ (PYMNTS).

Der entscheidende Punkt für die Kosten-Nutzen-Rechnung: Dieser Nutzen existiert überhaupt nur, weil an den Rampen KYC greift. Ohne den Identitätsknoten an der Börse bliebe die Spur eine Kette aus Zahlen. Der Ledger liefert das Wie, KYC liefert das Wer. Das ist der harte Kern dessen, was die Überwachung bringt, und niemand, der ehrlich argumentiert, kann ihn wegwischen.

Die Kosten-Seite: 374.693 Meldungen, 1.669 Urteile

Nun die Rechnungsseite, und hier wird es unbequem. Der Jahresbericht der deutschen FIU zeichnet das Bild eines Systems, das enorm viel meldet und erstaunlich wenig trifft. 2025 gingen 374.693 Verdachtsmeldungen ein, ein Plus von rund 41 Prozent gegenüber den 265.708 des Vorjahres (PayTechLaw). Der Löwenanteil kam aus dem Finanzsektor: Kreditinstitute stellten 319.857 Meldungen, während der Anteil digitaler Finanzdienstleister und Neobanken binnen eines Jahres von 13 auf 29 Prozent sprang.

Was am Ende dabei herauskommt, ist ernüchternd. Von den Meldungen leitete die FIU 2025 rund 67.024 Analyseberichte an Strafverfolgungsbehörden weiter, ein Viertel weniger als die 87.731 des Vorjahres. Nur 1.669 dieser Fälle mündeten laut Bericht in ein Urteil, einen Strafbefehl, einen Beschluss oder eine Anklageschrift; in etwa 96 Prozent der zurückgemeldeten Verfahren wurde eingestellt.

Das ist die Signatur defensiven Meldens. Wer bei Verstoß gegen die Meldepflicht persönlich haftet, meldet im Zweifel lieber zu viel als zu wenig. Zum Vergleich: In Deutschland kam 2024 eine Verdachtsmeldung auf 319 Einwohner, in Österreich nur eine auf 1.201, und Fachleute schätzen, dass mindestens ein Drittel des Meldeaufkommens ohne Verlust an Präventionswirkung wegfallen könnte (Bundesrechtsanwaltskammer). Jede dieser Meldungen kostet Personal, bei der meldenden Stelle und bei der FIU.

Man kann einwenden, Prävention lasse sich nicht an Verurteilungen messen, weil Abschreckung unsichtbar wirkt. Das stimmt. Aber ein Verhältnis von Hunderttausenden Meldungen zu wenigen Tausend justiziellen Ergebnissen verlangt nach einer Begründung, die über das Prinzip „viel hilft viel“ hinausgeht. Und diese Begründung ist auch international dünn.

Die 0,2-Prozent-Frage: bringt das System, was es verspricht?

Die grundsätzlichste Kritik kommt nicht von Krypto-Maximalisten, sondern aus der Grundlagenarbeit einer Denkfabrik. In ihrem Bericht „Tear Down this Walled Garden“ vom September 2025 fassen Peter Van Valkenburgh und Ian Miers vom US-Thinktank Coin Center eine UN-Schätzung zusammen, die seit Jahren im Raum steht: Nur etwa 0,2 Prozent der kriminellen Gelder, die durch das Finanzsystem fließen, werden unter dem heutigen AML-Regime beschlagnahmt oder eingefroren (Coin Center). Ihr Fazit fällt hart aus: Das System sei zugleich invasiv, teuer und wirkungsarm; es bewirke gegen illegale Finanzströme „remarkably little“.

Die Kostenseite ist dabei alles andere als klein. Weltweit geben Finanzinstitute jedes Jahr zweistellige Milliardenbeträge für Compliance aus, ein Aufwand, der von KYC-Teams über Transaktionsmonitoring und Sanktionsscreening bis zu den Meldepflichten reicht. Bezahlt wird das am Ende über Gebühren und über den Ausschluss all jener, die durch das Raster fallen, ohne je etwas Verbotenes getan zu haben.

Die Gegenrede ist ebenso real. Chainalysis betont, dass illegale Transaktionen weniger als ein Prozent des gesamten On-Chain-Volumens ausmachen. Die Basis ist also klein, und die Transparenz der Kette erlaubt es, dieses eine Prozent gezielt zu verfolgen. Beide Aussagen stimmen gleichzeitig: Der Anteil ist winzig, und die absolute Summe von 154 Milliarden US-Dollar ist ein Rekord. Die Frage ist, welche Zahl man für die relevantere hält.

Genau hier liegt der Kern der Analyse. Lohnt sich ein Regime, das einen Bruchteil der Beute sichert, die FIU mit Meldungen flutet und die Branche Milliarden kostet? Wer nur auf die beschlagnahmten 0,2 Prozent schaut, sagt Nein. Wer auf die abschreckende Wirkung und die verhinderten, nie gemessenen Taten schaut, sagt Ja. Ehrlich ist: Den Nenner, also die tatsächlich verhinderte Kriminalität, kennt niemand. Und ohne Nenner bleibt jede Bilanz eine Schätzung.

Das Honeypot-Problem: Compliance-Daten als Beute

Es gibt eine Kostenart, die in keiner Aufsichtsbilanz auftaucht und trotzdem real ist: Die Daten, die zur Bekämpfung von Kriminalität gesammelt werden, werden selbst zum Ziel von Kriminalität. Jede KYC-Pflicht zwingt Börsen, riesige Bestände an Ausweiskopien, Adressen und Selfies anzuhäufen. Solche Datenhalden sind ein Honeypot, und Honeypots werden ausgeraubt.

Der Fall Coinbase führte das im Mai 2025 vor. Bestochene Support-Dienstleister im Ausland kopierten die Daten von 69.461 Kundinnen und Kunden; die Angreifer forderten anschließend 20 Millionen US-Dollar Lösegeld. Coinbase lehnte ab und lobte stattdessen 20 Millionen US-Dollar Kopfgeld für Hinweise auf die Täter aus (Coinbase). Die geschätzten Kosten für Aufarbeitung und Entschädigung: 180 bis 400 Millionen US-Dollar. Kein Bitcoin wurde dabei gestohlen, sondern etwas Wertvolleres, nämlich die Identitätsdaten selbst, die nun für Phishing, Erpressung und SIM-Swapping taugen.

Für ein deutsches Publikum trifft das einen wunden Punkt. Das Recht auf informationelle Selbstbestimmung ist hierzulande kein Randthema, und die Pflicht, sensible Ausweisdaten bei privaten Dritten zu hinterlegen, kollidiert mit einer tief verankerten Datenschutz-Kultur. Wie fragil der Identitätsnachweis selbst geworden ist, zeigt der Wettlauf zwischen Deepfakes und Liveness-Prüfungen, in dem gefälschte Ausweise und synthetische Gesichter immer billiger werden.

Die Pointe ist eine Asymmetrie: Der Nutzen der KYC-Daten fällt der Allgemeinheit zu, in Form von Ermittlungsansätzen. Das Risiko der Datenhaltung tragen dagegen die Nutzer, deren Ausweise plötzlich im Darknet kursieren. Diese Schieflage ist eine der am meisten unterschätzten Kosten des ganzen Regimes.

Wenn die Aufsicht die Selbstverwahrung erreicht

Bis vor Kurzem endete die Überwachung an der Börsentür. Das ändert sich. Die Transfer of Funds Regulation, die EU-Fassung der Travel Rule, gilt seit dem 30. Dezember 2024 und kennt für Transfers zwischen Dienstleistern keine Bagatellgrenze. Bei Überweisungen von oder zu einer selbstverwahrten (self-hosted) Wallet über 1.000 Euro muss der Dienstleister zusätzlich prüfen, ob die Wallet tatsächlich seinem Kunden gehört oder von ihm kontrolliert wird (Notabene).

Rund um diese Regeln kursiert viel Angst, und ein Teil davon ist übertrieben. Patrick Hansen, EU-Politikchef des Stablecoin-Emittenten Circle, stellt richtig: „Self custody wallets are not banned. Payments to/from self custody wallets are not banned. P2P transfers are explicitly excluded from AMLR“ (The Block). Das Europäische Parlament kippte zudem eine zunächst geplante 1.000-Euro-Obergrenze für Zahlungen aus selbstverwahrten Wallets sowie eine Ausweispflicht für den bloßen Empfang solcher Zahlungen.

Die tatsächliche Kostenwirkung ist subtiler und heißt De-Risking. Wenn die Eigentumsprüfung für self-hosted Transfers Aufwand und Haftung bedeutet, ist es für manche Plattform einfacher, solche Auszahlungen ganz zu drosseln oder zu verweigern. Nicht ein Verbot der Selbstverwahrung, sondern ihre schrittweise Verteuerung ist das wahrscheinliche Ergebnis, ein Reibungseffekt, der ausgerechnet die Nutzer trifft, die ihre Schlüssel selbst halten wollen, etwa im Lightning Network.

Kurz: Wer über regulierte Rampen geht, wird identifiziert; wer bei sich selbst bleibt, darf das weiterhin, zahlt aber einen wachsenden Preis an Bequemlichkeit und Zugang. Diese Grenzverschiebung ist neu, und sie ist der eigentliche Schauplatz der nächsten Jahre.

Anonyme Konten, Privacy Coins und die 10.000-Euro-Grenze

Der 10. Juli 2027 ist das Datum, auf das die Branche blickt. Dann gilt die EU-Geldwäscheverordnung (AMLR, Verordnung 2024/1624) voll. Sie verbietet Krypto-Dienstleistern anonyme Konten und den Umgang mit anonymitätswahrenden Coins, ausdrücklich genannt werden Monero und Zcash (EUR-Lex). Parallel zieht die EU eine Obergrenze von 10.000 Euro für anonyme Bargeldzahlungen ein.

Wichtig ist die Feinheit, die in Schlagzeilen untergeht: Verboten wird nicht der Besitz. Monero zu halten oder zwischen zwei privaten Wallets zu transferieren, bleibt in jedem EU-Mitgliedstaat legal. Untersagt ist, dass regulierte Börsen und Verwahrer solche Coins listen, verwahren oder handelbar machen. In der Praxis bedeutet das Delistings an regulierten Handelsplätzen und damit dünnere Liquidität, nicht ein Strafgesetz gegen Privatsphäre.

Trotzdem verschiebt sich hier eine Grundlinie. Kritiker verweisen auf die Artikel 7 und 8 der EU-Grundrechtecharta, also auf das Recht auf Privat- und Familienleben und den Schutz personenbezogener Daten. Ihr Argument: Bargeld ist anonym und legal; warum soll digitales Bargeld anders behandelt werden? An diesem Punkt wird der Preis der Überwachung nicht mehr in Euro gemessen, sondern in einem Grundrecht.

Ob dieser Preis angemessen ist, ist eine politische, keine technische Frage. Sie lässt sich nicht durch bessere Software auflösen, sondern nur durch eine Abwägung zwischen Sicherheit und Freiheit, die Europa gerade erst offen führt. Und sie fällt in eine Zeit, in der die illegalen Ströme trotz aller Kontrollen wachsen, was die Abwägung nicht leichter macht.

Warum die Ströme wachsen: Stablecoins, Sanktionen, Mixer

Wenn die Kontrollen so dicht sind, warum steigen die illegalen Summen dann? Die Antwort liegt in der Struktur der 154 Milliarden. Der Zuwachs ist nicht von Kleinbetrug getrieben, sondern von Sanktionsumgehung: Der Wert, den sanktionierte Adressen empfingen, stieg 2025 um 694 Prozent auf rund 104 Milliarden US-Dollar (Chainalysis). Allein der rubelgedeckte Stablecoin A7A5 wickelte in weniger als einem Jahr 93,3 Milliarden US-Dollar ab.

Auffällig ist das Vehikel. Stablecoins machen inzwischen rund 84 Prozent des illegalen Transaktionswerts aus und haben Bitcoin als bevorzugte Schiene abgelöst, weil sie wertstabil, grenzüberschreitend und breit einsetzbar sind. Das ist die unbequeme Ironie: Ausgerechnet das am stärksten regulierte Segment, an Fiat gebunden und oft von lizenzierten Emittenten ausgegeben, trägt den Großteil der Ströme.

Das Muster heißt Verdrängung. Die Aufsicht ist an den regulierten Rampen am dichtesten, also weicht die organisierte Kriminalität dorthin aus, wo die Kontrolle am dünnsten ist: offshore, in einfrierresistente Stablecoins, in Mixer. Der Fall Tornado Cash zeigt, wie zäh dieses Ringen ist: Das US-Finanzministerium sanktionierte den Mixer 2022, nahm ihn im März 2025 wieder von der Liste, und Mitentwickler Roman Storm wurde im August 2025 wegen des Betriebs eines unlizenzierten Geldtransmitters verurteilt.

Für die Kosten-Nutzen-Rechnung heißt das: Die Überwachung an den Rampen fasst die Unvorsichtigen und die Kleinen. Die industriellen Ströme routen um sie herum. Der Rekord von 154 Milliarden ist deshalb auch ein Maß dafür, was das Regime gerade nicht verhindert, und nicht nur dafür, wie gut es misst.

BaFin, AMLA und die Frage nach mehr Zentralisierung

Europas Antwort auf diese Lücken heißt Zentralisierung. Über der nationalen Aufsicht (in Deutschland BaFin plus FIU beim Zoll) thront seit dem 1. Juli 2025 die AMLA im Frankfurter Messeturm. Ab 2028 wird die Behörde etwa 40 der komplexesten, risikoreichsten Institute in der EU direkt beaufsichtigen, ausdrücklich auch Krypto-Firmen; die AMLA hat Krypto-Dienstleistungen bereits als eine der größten Geldwäschebedrohungen der EU eingestuft (AMLA).

Die Vorsitzende Bruna Szego, zuvor Geldwäscheaufseherin der Banca d’Italia, hat zugleich vor einem Übergangsrisiko gewarnt: Die Migration nach dem Auslaufen der MiCA-Übergangsfristen könnte Geldwäsche kurzfristig schwerer auffindbar machen, wenn Kunden von abzuwickelnden zu lizenzierten Plattformen wechseln und dort für Onboarding-Wellen sorgen. Mehr Zentralisierung ist also kein Selbstläufer.

Die Wette dahinter ist plausibel: Ein harmonisiertes Regelbuch und eine europäische Aufsicht sollen die schwächsten Glieder beseitigen, das Forum-Shopping zwischen Mitgliedstaaten beenden und die grenzüberschreitende Zusammenarbeit verbessern. Offen ist, ob diese zusätzliche Aufsichtsschicht die entscheidende Kennziffer bewegt, also die beschlagnahmten 0,2 Prozent, oder ob sie vor allem Kosten auftürmt. Auch die europäische Überprüfung von MiCA ringt genau mit solchen Lücken, von DeFi über Staking bis Lending.

Zentralisierung ist die Richtung, in die Europa geht. Ob sie die Nadel bewegt, ist unbewiesen, und genau das sollte man offen aussprechen, statt es als selbstverständlichen Fortschritt zu verkaufen.

Nutzen gegen Kosten: die Bilanz 2026

Ziehen wir die Bilanz. Auf der Nutzenseite steht eine reale, gerichtsfeste Nachverfolgbarkeit, die Fälle wie Bitfinex möglich macht, plus die abschreckende Wirkung, die sich naturgemäß schwer beziffern lässt. Auf der Kostenseite steht ein wachsender Stapel: Compliance-Milliarden, eine Meldelawine mit magerer Trefferquote, Datenhalden als Honeypots, ein Grundrechtskonflikt und die schleichende Verteuerung der Selbstverwahrung.

Das Ergebnis ist kein Freispruch und kein Todesurteil. Das Regime ist weder wirkungslos, denn die Spur funktioniert, noch ein sauberer Sieg, denn der Großteil der Beute entkommt. Es ist ein grobes, teures Instrument, dessen Grenznutzen umstritten und dessen Kosten konkret und steigend sind.

Die eigentliche Frage lautet deshalb nicht „Überwachung ja oder nein“, sondern: Lässt sich der Nutzen (Nachverfolgbarkeit, Identität an der Rampe) erhalten, während die Kosten (Massendatenhaltung, defensives Melden, Grundrechtseingriff) sinken? Genau hier setzt der interessanteste Reform-Pfad an, und er kommt aus der Kryptografie selbst.

Der Reform-Pfad: Compliance ohne Totalüberwachung

Die technisch interessanteste Antwort sind Zero-Knowledge-Beweise. Die Idee ist, einen Nachweis von seinen Daten zu trennen. Man beweist, dass man eine KYC-Prüfung bestanden hat, über 18 ist oder nicht auf einer Sanktionsliste steht, ohne Namen, Adresse oder Ausweis preiszugeben. Aus einer Datenübergabe wird eine selektive Offenlegung (selective disclosure), und aus der Datenhalde wird ein Beweis, den niemand stehlen kann, weil er keine Rohdaten enthält.

Das ist keine Theorie mehr. Die Deutsche Bank hat 2025 mit dem Anbieter Privado ID einen Proof of Concept abgeschlossen, der ZK-basierte Identitätsprüfung auf der Blockchain demonstriert, ohne Kundendaten auf einen geteilten Ledger zu schreiben (Privado ID). Sie gilt als eine der ersten Großbanken, die ZK-Identität als Produktionsanforderung für tokenisierte Vermögenswerte behandelt; auch Citi, HSBC und Sony Bank testen die Technik, und Anbieter wie zkMe sind bereits in RWA-Plattformen aktiv. Für ein Land mit ausgeprägter Datenschutz-Tradition ist das mehr als eine Randnotiz.

Der Haken ist regulatorisch, nicht technisch. Weder die AMLR noch die aktuellen FATF-Leitlinien haben Zero-Knowledge-Beweise ausdrücklich als vollwertiges Compliance-Mittel anerkannt; die Einsätze laufen in einer Grauzone, bis die Europäische Bankenaufsicht technische Standards liefert (CoinDesk). Die Aufsicht muss also erst entscheiden, ob „beweisbare Compliance“ als Compliance zählt.

Der verwandte Weg ist wiederverwendbare, nutzergehaltene Identität, wie sie die geplante europäische EUDI-Wallet verspricht: einmal geprüft, danach vielfach und datensparsam vorzeigbar. Zusammengenommen skizzieren beide Ansätze ein System, das die Rampe kennt, ohne jede Börse zur Datenhalde zu machen. Es ist der einzige Weg, der Nutzen und Kosten gleichzeitig verbessert, statt sie nur gegeneinander abzuwägen.

Was das für Nutzer in Deutschland bedeutet

Was heißt das konkret für Anlegerinnen und Anleger in Deutschland? Kurzfristig ändert sich wenig am Alltag: Wer bei einer lizenzierten Plattform handelt, durchläuft volle KYC, wird laufend überwacht und akzeptiert, dass Auszahlungen an eigene self-hosted Wallets über 1.000 Euro einen Eigentumsnachweis auslösen können.

Mittelfristig, bis 2027 und 2028, verdichtet sich das Bild: keine anonymen Konten mehr, Delistings von Privacy Coins, eine 10.000-Euro-Grenze für anonymes Bargeld und eine europäische Aufsicht, die die größten Anbieter direkt prüft. Mehr gesammelte Daten bedeuten auch mehr mögliche Datenlecks; der eigene KYC-Fußabdruck wird zu einem Risiko, das man dort klein halten sollte, wo es legal möglich ist.

Praktisch heißt das: bei der Wahl der Plattform auf Sicherheitskultur und Datensparsamkeit achten, die Regeln zur Self-Custody-Verifizierung kennen, mit Delistings rechnen und den zk- und EUDI-Track im Auge behalten, denn dort entscheidet sich, ob Compliance künftig ohne vollständige Preisgabe der Identität funktioniert.

Die Richtung ist gesetzt: mehr Abdeckung, mehr Zentralisierung, mehr Daten. Die Frage, mit der dieser Text begann, bleibt offen: Kauft die Überwachung genug, um ihren Preis zu rechtfertigen? Der nächste ehrliche Test ist, ob AMLA und beweisbare Compliance die Trefferquote heben, ohne die Kosten weiter zu türmen. Bis dahin gilt der nüchterne Befund: Das System sieht sehr viel und verhindert überraschend wenig, und beides stimmt zugleich.

Häufig gestellte Fragen

Ist Selbstverwahrung von Krypto in der EU ab 2027 verboten?

Nein. Selbstverwahrte (self-hosted) Wallets, Zahlungen an sie und Peer-to-Peer-Transfers zwischen Privatpersonen bleiben erlaubt und sind von der AMLR ausdrücklich ausgenommen. Reguliert wird die Schnittstelle: Überweist eine lizenzierte Börse mehr als 1.000 Euro von oder zu einer self-hosted Wallet, muss sie prüfen, ob die Wallet dem Kunden gehört. In der Praxis kann das dazu führen, dass manche Plattformen solche Transfers erschweren.

Werden Monero und andere Privacy Coins in Deutschland verboten?

Der private Besitz und die Nutzung bleiben legal. Ab dem 10. Juli 2027 dürfen lizenzierte Krypto-Dienstleister in der EU anonymitätswahrende Coins wie Monero oder Zcash jedoch nicht mehr listen, verwahren oder handelbar machen. Praktische Folge sind Delistings an regulierten Börsen und damit geringere Liquidität, kein strafrechtliches Verbot des Coins selbst.

Wer beaufsichtigt Geldwäsche bei Krypto in Deutschland?

Zuständig sind die BaFin nach dem Geldwäschegesetz und die Financial Intelligence Unit bei der Generalzolldirektion, die Verdachtsmeldungen entgegennimmt und auswertet. Ab 2028 tritt die EU-Behörde AMLA in Frankfurt hinzu, die die größten und risikoreichsten Anbieter direkt beaufsichtigt. Eine reine Wertpapieraufsicht ist dafür nicht zuständig; Geldwäsche ist ein eigenes Regime neben MiCA.

Funktioniert KYC und AML überhaupt gegen Krypto-Kriminalität?

Die Bilanz ist gemischt. Einerseits liegt der illegale Anteil unter einem Prozent des On-Chain-Volumens, und die Transparenz der Blockchain ermöglichte Beschlagnahmen wie die 3,6 Milliarden US-Dollar im Bitfinex-Fall. Andererseits werden nach UN-Schätzung nur rund 0,2 Prozent krimineller Gelder eingefroren, und die illegalen Ströme erreichten 2025 mit 154 Milliarden US-Dollar einen Rekord. Nutzen und Kosten stehen in einem umstrittenen Verhältnis.

Was ist die Travel Rule oder TFR bei Krypto?

Die Travel Rule verlangt, dass mit jeder Krypto-Überweisung zwischen Dienstleistern Angaben zu Sender und Empfänger mitreisen. In der EU setzt die Transfer of Funds Regulation (TFR) sie seit dem 30. Dezember 2024 ohne Bagatellgrenze um, sie gilt also ab dem ersten Euro. Für Transfers von oder zu selbstverwahrten Wallets über 1.000 Euro kommt eine Eigentumsprüfung hinzu.

Anneke de Vries schreibt für HOGE Wire über Krypto-Regulierung, Geldwäscheaufsicht und europäische Finanzpolitik.