Der Fall OKX: 504 Millionen Dollar und die Papier-KYC

Im Frühjahr 2025 passierte OKX, einer der weltweit größten Krypto-Börsen nach Handelsvolumen, innerhalb von zwölf Wochen dreierlei. Am 27. Januar erteilte die maltesische Finanzaufsicht MFSA der Europa-Tochter eine der ersten vollwertigen MiCA-Lizenzen überhaupt, faktisch ein Pass für den Dienst in allen 30 Staaten des Europäischen Wirtschaftsraums. Am 24. Februar bekannte sich die Betreibergesellschaft Aux Cayes FinTech Co. Ltd. vor einem Bundesgericht in Manhattan schuldig, sieben Jahre lang gegen US-Geldwäschegesetze verstoßen zu haben, und akzeptierte Strafen von mehr als 504 Millionen Dollar. Am 3. April verhängte Maltas Geldwäsche-Meldestelle FIAU gegen genau dieselbe Europa-Tochter eine Geldbuße von 1,1 Millionen Euro wegen schwerwiegender und systematischer Verstöße. Ein Unternehmen, drei Behörden, drei sehr unterschiedliche Urteile, alle im selben Quartal.

Für europäische Anlegerinnen und Anleger ist das keine ferne Episode. OKX wirbt im deutschsprachigen Raum, die App steht in den Stores, und die Börse gehört zu den Plattformen, über die auch hiesige Nutzer handeln. Der Markt, auf dem sie das tun, ist an diesem 17. Oktober 2026 nervös: Bitcoin notiert laut CoinGecko bei rund 72.500 Euro, gut ein Prozent im Minus auf Tagessicht, während der Uptober-Optimismus vor der nächsten Fed-Sitzung ins Stocken gerät. Wer bei OKX ein Konto eröffnet, durchläuft eine Identitätsprüfung, lädt einen Ausweis hoch, macht ein Selfie. Genau diese Prüfung, KYC genannt, stand im Zentrum aller drei Verfahren.

Der Fall OKX ist deshalb lehrreich, weil er ein verbreitetes Missverständnis zerlegt. OKX hatte KYC. Es gab Onboarding-Formulare, Ausweisprüfungen, Richtlinien, ein Compliance-Team. Was fehlte, war etwas anderes: ein Geldwäsche-Programm, das diese Prüfungen auch durchsetzt, Transaktionen laufend überwacht und Verdachtsfälle meldet. Papier-KYC nennen wir das hier, und es ist der Unterschied zwischen einem Regal voller Ordner und einer Kontrolle, die tatsächlich greift. Dieser Unterschied ist das Thema dieses Textes, erzählt entlang eines Falls, dessen Zahlen groß genug sind, um die ganze Mechanik sichtbar zu machen.

Drei Behörden, drei Urteile, zwölf Wochen

Die drei Daten gehören zusammen, weil sie drei verschiedene Regelkreise betreffen, die in der öffentlichen Debatte ständig durcheinandergeraten. Die MiCA-Lizenz der MFSA ist eine Markt- und Wohlverhaltensaufsicht: Sie prüft, ob ein Krypto-Dienstleister genug Eigenkapital hat, Kundengelder trennt, über Risiken aufklärt und eine saubere Governance vorweist. Das US-Schuldbekenntnis betrifft einen völlig anderen Bereich, die Geldwäschebekämpfung, in den USA zuständig bei FinCEN und bei der Sanktionsbehörde OFAC, nicht bei der Börsenaufsicht SEC. Und die FIAU-Buße aus Malta ist die europäische Variante genau dieser Geldwäscheaufsicht, angewandt auf dieselbe Firma, die wenige Wochen zuvor ihre MiCA-Lizenz erhalten hatte.

Dass eine Börse im selben Quartal eine EU-Lizenz bekommt und sich auf zwei Kontinenten für Geldwäsche-Mängel verantworten muss, ist kein Widerspruch, sondern die Pointe. Eine Lizenz für den Dienst ist keine Bescheinigung für ein sauberes Geldwäsche-Programm. Die beiden Dinge werden von unterschiedlichen Regeln, oft von unterschiedlichen Behörden und nach unterschiedlichen Prüfungen vergeben. Wer das zusammenwirft, liest aus einem grünen Häkchen bei der Lizenz eine Sicherheit heraus, die dort nie behauptet wurde. Für Nutzer, für Aufseher und für die Börsen selbst ist das die teuerste Verwechslung der Branche.

Was OKX wirklich fehlte: Compliance nur auf dem Papier

Die Vorwürfe der US-Staatsanwaltschaft lesen sich nüchtern und sind doch drastisch. Aux Cayes FinTech, von den Seychellen aus betrieben, führte die Plattform seit mindestens 2017, bediente dabei aber durchgehend auch US-Kunden, ohne sich wie vorgeschrieben als Geldtransfer-Dienstleister bei FinCEN zu registrieren und ein Geldwäsche-Programm zu unterhalten. Über die Plattform liefen nach Darstellung der Ankläger mehr als fünf Milliarden Dollar an verdächtigen Transaktionen und kriminellen Erlösen. Der entscheidende technische Befund: OKX setzte bis etwa Mai 2023 keine kommerzielle Software zur Transaktionsüberwachung ein und hatte zuvor keine Kontrollen, um zu erkennen, ob Transaktionen mit sanktionierten Regionen zusammenhingen.

Noch anschaulicher ist der menschliche Teil. Ein Mitarbeiter wies US-Kunden aktiv an, die Länderbeschränkungen zu umgehen, indem sie schlicht über ihren Wohnsitz logen; in einem dokumentierten Fall riet er, als Sitz die Vereinigten Arabischen Emirate anzugeben und Zufallszahlen als Ausweisnummer zu verwenden. Genau das ist Papier-KYC: Die Pflichtfelder existieren, das Formular wird ausgefüllt, nur eben mit erfundenen Daten, zu denen das Haus selbst anleitet. Matthew Podolsky, damals kommissarischer Bundesstaatsanwalt für den Südbezirk von New York, fasste es so zusammen: „For over seven years, OKX knowingly violated anti-money laundering laws and avoided implementing required policies to prevent criminals from abusing our financial system.“

Das Schuldbekenntnis vom 24. Februar 2025 fiel vor Richterin Katherine Polk Failla und umfasste einen einzigen Anklagepunkt, den Betrieb eines nicht lizenzierten Geldtransfergeschäfts. Die 504 Millionen setzen sich aus rund 420,3 Millionen Dollar Einziehung und etwa 84,4 Millionen Dollar Strafe zusammen, umgerechnet zusammen gut 450 Millionen Euro. Bemerkenswert ist, was nicht Teil der Einigung war: OKX musste keinen staatlich bestellten Monitor akzeptieren, sondern durfte einen selbst engagierten externen Compliance-Berater bis Februar 2027 behalten, und es wurde kein einzelner Mitarbeiter angeklagt. Das Unternehmen sprach von „legacy compliance gaps“, betonte, die betroffenen US-Kunden seien ein kleiner Teil der Gesamtkundschaft und heute nicht mehr auf der Plattform, und relancierte sein US-Geschäft im April 2025 mit neuem US-Chef und Sitz in San Jose. Die Firma lebt also weiter, besser aufgestellt als zuvor. Die Lektion aber bleibt.

KYC ist nicht gleich AML

Die beiden Kürzel werden meist in einem Atemzug genannt, meinen aber nicht dasselbe. KYC steht für Know Your Customer und bezeichnet den Moment, in dem eine Plattform herausfindet, wer ihr gegenübersitzt: Name, Geburtsdatum, Adresse, ein amtlicher Ausweis, ein Abgleich, dass das Dokument echt ist und zur Person gehört. AML, Anti-Money-Laundering, ist der Oberbegriff für das gesamte Programm, das verhindern soll, dass eine Plattform zur Waschmaschine für kriminelles Geld wird. KYC ist ein Baustein dieses Programms, der erste, aber eben nur einer von mehreren.

Ein vollständiges Geldwäsche-Programm ruht auf mehreren Säulen, die in der angelsächsischen Aufsichtspraxis gern als die fünf Pfeiler beschrieben werden: ein benannter, verantwortlicher Geldwäschebeauftragter; verbindliche interne Richtlinien und Kontrollen; laufende Schulung der Mitarbeiter; eine unabhängige Prüfung, die das Programm selbst auf Wirksamkeit testet; und die Sorgfaltspflichten gegenüber dem Kunden, also KYC plus laufende Überwachung. Fällt eine Säule weg, trägt das Dach nicht mehr. Bei OKX fehlte vor allem die laufende Überwachung, und damit kippte das ganze Konstrukt, egal wie ordentlich die Onboarding-Formulare aussahen.

Dahinter steht ein simples Modell davon, wie Geldwäsche funktioniert. Klassisch beschreibt man drei Phasen: die Platzierung, in der schmutziges Geld ins System gelangt; die Verschleierung, in der es durch viele Transaktionen, Konten und Ketten seine Spur verliert; und die Integration, in der es als scheinbar sauberes Vermögen wieder auftaucht. Krypto ist für die mittlere Phase attraktiv, weil sich Werte schnell, grenzüberschreitend und in vielen Schritten bewegen lassen. Genau deshalb reicht eine einmalige Identitätsprüfung beim Onboarding nicht. Eine Börse muss auch danach hinschauen, ob das Verhalten eines Kontos zum deklarierten Zweck passt, und auffällige Muster melden. Diese verstärkten Sorgfaltspflichten, auf Englisch Enhanced Due Diligence, greifen bei höherem Risiko: große Summen, undurchsichtige Herkunft, Verbindungen zu Hochrisikoländern oder politisch exponierten Personen.

Wer in Deutschland die Geldwäscheaufsicht führt

Die erste Korrektur, die der Fall OKX einem deutschen Publikum abverlangt, betrifft die Zuständigkeit. In den USA ist Geldwäsche nicht Sache der Wertpapieraufsicht SEC, sondern des Financial Crimes Enforcement Network (FinCEN), das die Programm- und Meldepflichten setzt, und des Office of Foreign Assets Control (OFAC), das die Sanktionslisten führt. OKX bekannte sich deshalb nicht wegen eines Wertpapierdelikts schuldig, sondern wegen des Betriebs eines nicht registrierten Geldtransfergeschäfts, eines klassischen Bank-Secrecy-Act-Vergehens. Das ist ein anderes Rechtsgebiet als die Frage, ob ein Token ein Wertpapier ist.

In Deutschland ist die Architektur ähnlich zweigeteilt. Das Geldwäschegesetz (GwG) definiert die Pflichten, und die BaFin trägt dabei zwei Hüte zugleich: Sie lizenziert Krypto-Dienstleister unter MiCAR und dem nationalen Begleitgesetz, und sie beaufsichtigt denselben Kreis als Geldwäscheaufsicht des Finanzsektors. Ihr aktuelles Papier zu Kryptowerte-Dienstleistungen hält die Trennung ausdrücklich fest: MiCA regelt die Dienstleister und Emittenten, nicht das Protokoll, und die Geldwäschepflichten laufen parallel dazu. Die Verdachtsmeldungen selbst gehen aber nicht an die BaFin, sondern an die Financial Intelligence Unit (FIU), die in Deutschland bei der Generalzolldirektion angesiedelt ist, also beim Zoll und nicht bei der Finanzaufsicht.

Konkret heißt das: Eine Börse, die in Deutschland tätig ist, muss nach Paragraf 43 GwG jeden Geldwäsche-Verdacht unverzüglich an die FIU melden, und zwar seit dem 1. März 2026 verpflichtend über das elektronische Format goAML. Sie darf den Kunden nach Paragraf 47 nicht über die Meldung informieren, das sogenannte Tipping-off-Verbot. Und sie muss je nach Risiko die allgemeinen, verstärkten oder vereinfachten Sorgfaltspflichten der Paragrafen 10, 14 und 15 anwenden. Hätte OKX in diesem System operiert, wären die beiden Kernmängel, kein Transaktionsmonitoring und Mitarbeiter, die zum Lügen anleiten, nicht etwa Randnotizen, sondern genau die Punkte, an denen eine BaFin-Sonderprüfung ansetzt.

Die MiCA-Lizenz ist kein Geldwäsche-Gütesiegel

Hier liegt die eigentliche Lehre des Falls. Die EU-Verordnung MiCA schafft ein einheitliches Zulassungs- und Wohlverhaltensregime für Krypto-Dienstleister. Sie verlangt Eigenkapital, Trennung der Kundengelder, faire Information, Beschwerdeverfahren, solide Governance. Was MiCA ausdrücklich nicht leistet, ist die Geldwäscheaufsicht. Die steckt in einem eigenen Regelwerk, der EU-Geldwäscheverordnung AMLR und national im GwG, mit eigenen Prüfungen, eigenen Behörden und eigenen Sanktionen. Eine MiCA-Lizenz sagt also aus, dass ein Dienst ordentlich geführt wird, nicht, dass sein Geldwäsche-Programm hält.

Der Fall OKX macht diese Trennung mit fast schon lehrbuchhafter Schärfe sichtbar. Schon 2023 hatte eine Prüfung der maltesischen FIAU bei der Europa-Tochter Okcoin Europe, so der damalige Firmenname, gravierende Lücken gefunden. Im Januar 2025 erhielt dieselbe Tochter trotzdem ihre MiCA-Lizenz. Und im April 2025 verhängte die FIAU dann die Buße von 1,1 Millionen Euro für die 2023 festgestellten Verstöße. Die beiden Spuren, Lizenz und Geldwäscheaufsicht, liefen nebeneinander her, als beträfen sie zwei verschiedene Unternehmen.

Die FIAU nannte die Mängel schwerwiegend und systematisch. Die unternehmensweite Risikobewertung habe die Geldwäscherisiken nicht angemessen erfasst, insbesondere nicht die Gefahren aus Krypto-Mixern, Privacy Coins, Stablecoins und dezentralen Börsen. Nahezu die Hälfte der geprüften Kundenkonten sei ohne saubere Risikoeinstufung gewesen, und rund 80 Prozent der untersuchten Transaktionen, zusammen mehr als 20 Millionen Dollar, seien nicht ausreichend geprüft worden. Auch die Herkunft von Geldern außerhalb der EU habe die Börse nicht hinreichend betrachtet. Dieselbe Firma also, die Malta als MiCA-Mustereuropäer vorzeigt, war zeitgleich ein dokumentierter Geldwäsche-Fall, auf beiden Seiten des Atlantiks.

Das Unternehmen rahmt seine europäische Gegenwart heute als Vorzeigefall. OKX-Europa-Chef Erald Ghoos erklärte zur maltesischen Zahlungsinstituts-Lizenz vom Februar 2026, diese stelle sicher, dass die Produkte auf einer vollständig regelkonformen Grundlage liefen, und Stablecoins könnten Zahlungen effizienter machen, aber nur, wenn sie innerhalb starker regulatorischer Leitplanken gebaut würden. Das ist die richtige Sprache. Nur zeigt der Fall OKX, dass die Lizenz, die diese Sprache beglaubigt, und die Geldwäscheaufsicht, die sie einhalten soll, eben nicht dasselbe grüne Häkchen sind.

Was eine funktionierende KYC-Kette leisten muss

Um zu verstehen, was fehlte, lohnt der Blick auf eine intakte Kette. Sie beginnt mit der Identifizierung: Der Kunde lädt ein amtliches Dokument hoch, ein Verfahren prüft dessen Echtheit, eine Lebendprüfung per Selfie oder Video stellt sicher, dass die Person real und anwesend ist. In Deutschland erledigen das spezialisierte Anbieter wie IDnow oder WebID, international Dienstleister wie Sumsub oder Onfido. Danach läuft ein Abgleich gegen Sanktions- und PEP-Listen, also gegen die Namen, mit denen kein Geschäft gemacht werden darf. Erst dann ist das Konto offen.

Der entscheidende Teil kommt aber erst danach. Eine Monitoring-Software beobachtet laufend, ob Transaktionen zum Profil passen, ob Gelder aus Mixern stammen, ob Muster auf Layering hindeuten. Schlägt sie an, prüft ein Analyst, und im Zweifel geht eine Verdachtsmeldung an die FIU. Genau dieser hintere Teil der Kette, Überwachung und Meldung, war bei OKX bis 2023 schlicht nicht vorhanden. Die folgende Tabelle misst die fünf Pfeiler eines Geldwäsche-Programms an den im US- und im Malta-Verfahren dokumentierten Befunden.

Die Meldekette, goAML und die Papierflut

Die Verdachtsmeldung ist das Herzstück des Systems, und ausgerechnet hier zeigt sich eine deutsche Besonderheit, die den Fall OKX in ein unbequemes Licht rückt. Die FIU meldet in ihrem Jahresbericht 2025 einen neuen Rekord: Rund 374.693 Verdachtsmeldungen gingen ein, ein Plus von 41 Prozent gegenüber dem Vorjahr, der Löwenanteil von Kreditinstituten. Aus all diesen Meldungen mündeten nach den Zahlen der Behörde nur 1.669 in ein Urteil, einen Strafbefehl oder eine Anklage; der weit überwiegende Teil wurde eingestellt. Das System produziert also eine Papierflut, in der die wenigen echten Treffer leicht untergehen.

Seit dem 1. März 2026 müssen diese Meldungen verpflichtend über das strukturierte Format goAML eingereicht werden, was die Auswertung erleichtern soll. Doch das eigentliche Problem, das der Fall OKX beleuchtet, liegt vor der Meldung: Eine Börse ohne Transaktionsüberwachung erkennt gar nicht erst, was sie melden müsste. Die gefährlichste Meldung ist nicht die, die in der Masse untergeht, sondern die, die nie geschrieben wird, weil niemand hinschaut. Papier-KYC erzeugt genau diese Leerstelle: viele brave Onboarding-Akten, aber keine einzige Verdachtsmeldung zu den Milliarden, die durchliefen.

Meldepflichten sind dabei längst nicht mehr auf die Geldwäscheaufsicht beschränkt. Parallel verpflichtet die EU-Richtlinie DAC8 Krypto-Plattformen, Konten und Transaktionen ihrer Nutzer an die Steuerbehörden zu melden, ein Transparenz-Regime, das das Finanzamt mitlesen lässt. Für die Börsen verschmelzen beide Welten in denselben Datensätzen: Wer Kunden sauber identifiziert und ihre Bewegungen nachvollziehbar protokolliert, erfüllt am Ende Geldwäsche- und Steuerpflichten aus einem Guss. Wer es wie OKX versäumt, scheitert an beiden Fronten gleichzeitig.

Die Offshore-Enforcement-Welle

OKX ist kein Einzelfall, sondern das vorläufig letzte Glied einer Kette fast identischer Fälle. Das Muster wiederholt sich: eine von einem Offshore-Standort aus betriebene Börse, meist von den Seychellen, bedient US-Kunden, ohne sich zu registrieren, und spart sich dabei ein funktionierendes Geldwäsche-Programm. Der Prototyp war BitMEX, dessen Betreiber HDR Global jahrelang mit kaum mehr als einer E-Mail-Adresse Konten eröffnen ließ und 2021 100 Millionen Dollar an CFTC und FinCEN zahlte, ehe 2025 die Unternehmensstrafe folgte.

Den Höhepunkt setzte Binance. Im November 2023 akzeptierte die größte Börse der Welt eine Gesamtlösung von 4,3 Milliarden Dollar, davon 3,4 Milliarden an FinCEN und 968 Millionen an OFAC. Die Staatsanwaltschaft hielt fest, dass Binance mehr als 100.000 verdächtige Transaktionen abwickelte, ohne auch nur eine einzige Verdachtsmeldung einzureichen. Der damalige US-Justizminister Merrick Garland formulierte den Grundsatz, der über der ganzen Welle steht: „Using new technology to break the law does not make you a disruptor. It makes you a criminal.“ Es folgten KuCoin mit mehr als 297 Millionen Dollar im Januar 2025 und schließlich OKX im Februar 2025.

Vier Fälle, eine Diagnose. In jedem fehlte nicht die Idee von KYC, sondern dessen Durchsetzung. Und in jedem zeigte sich, dass eine Offshore-Registrierung den Betrieb nicht vor der Reichweite der US-Behörden schützt, sobald amerikanische Kunden bedient werden. Für europäische Plattformen gilt dieselbe Logik spiegelbildlich: Wer EU-Kunden bedient, unterliegt der EU-Geldwäscheaufsicht, egal wo der Server steht.

Washington begnadigt, Brüssel verschärft

So eindeutig die Enforcement-Welle war, so bemerkenswert ist die politische Kehrtwende, die ihr in den USA folgte. Im März 2025 begnadigte Präsident Trump die drei BitMEX-Gründer, im Oktober 2025 den früheren Binance-Chef Changpeng Zhao, der seine viermonatige Haftstrafe da längst verbüßt hatte. Zugleich bauten die US-Aufseher Druck ab, von der Rücknahme des sogenannten Debanking bis zum weicheren Kurs der SEC. Dieselben Fälle, die unter einer Regierung Milliardenstrafen und Haft brachten, wurden unter der nächsten zu Gnadenakten. Wie sich dieser Kontrast zwischen begnadigendem Washington und verschärfendem Brüssel auffächert, ist eine eigene Geschichte.

OKX steht dabei auffällig auf der anderen Seite der Linie. Das Unternehmen wurde nicht begnadigt; es zahlte, behielt seinen externen Berater und baute sein Geschäft neu auf. Ein Schuldbekenntnis einer Gesellschaft lässt sich auch schwerer begnadigen als die Strafe einer Einzelperson. Und selbst wenn: Eine Begnadigung vergibt der Person, sie hebt kein Gesetz auf. Die Pflicht, ein Geldwäsche-Programm zu führen, Transaktionen zu überwachen und Verdacht zu melden, steht nach wie vor im Gesetzbuch, in Washington wie in Berlin. Was sich ändert, ist der politische Wille, sie durchzusetzen, nicht die Pflicht selbst.

Genau an dieser Stelle laufen Amerika und Europa auseinander. Während die USA den Vollzug lockern, zieht die EU ihr Regelwerk gerade erst scharf. Für eine Börse wie OKX, die mit ihrer maltesischen Lizenz den gesamten Binnenmarkt bedient, ist der europäische Teil deshalb der härtere Prüfstein der kommenden Jahre.

Das EU-Regelwerk zieht an: TFR, AMLR, AMLA

Drei Bausteine greifen in Europa ineinander. Seit dem 30. Dezember 2024 gilt die Geldtransfer-Verordnung TFR, die die sogenannte Travel Rule für Krypto umsetzt, und zwar ohne Bagatellgrenze: Bei jeder Überweisung zwischen Dienstleistern müssen Angaben zu Auftraggeber und Empfänger mitreisen. Transfers von und zu selbst verwahrten Wallets lösen ab 1.000 Euro zusätzliche Prüfungen aus. Ab dem 10. Juli 2027 kommt die Geldwäscheverordnung AMLR voll zur Anwendung, die anonyme Krypto-Konten verbietet, den Dienstleistern den Umgang mit Anonymisierungs-Coins wie Monero oder Zcash untersagt und eine Bargeldobergrenze von 10.000 Euro setzt.

Den institutionellen Überbau liefert die neue EU-Geldwäschebehörde AMLA mit Sitz in Frankfurt. Ab 2028 übernimmt sie die direkte Aufsicht über bis zu 40 besonders risikoreiche Institute, und Krypto-Dienstleister nennt sie ausdrücklich als Priorität; die Auswahlmethodik entsteht 2026, die erste Auswahl 2027. AMLA-Chefin Bruna Szego, zuvor Geldwäsche-Chefin der italienischen Notenbank, warnte vor dem Europäischen Parlament, die Migration unter MiCA könne Kunden zum überstürzten Abzug ihrer Mittel bewegen und die abzuwickelnden Altanbieter zusätzlich unter Druck setzen, eine Phase also, in der die Aufsicht besonders wachsam sein müsse. Die folgende Tabelle ordnet die Fristen.

Bringt die ganze Überwachung überhaupt etwas?

Wer 504 Millionen Dollar Strafe liest, sollte die unbequeme Gegenfrage mitdenken: Funktioniert das Ganze eigentlich? Die Bilanz ist zwiespältig. Für die Überwachung spricht, dass Blockchains öffentlich sind und Ermittler Spuren über Jahre zurückverfolgen können; die großen Enforcement-Erfolge, OKX eingeschlossen, beruhen genau darauf. Dagegen sprechen die Zahlen zur Wirkung. Der Chainalysis-Krypto-Kriminalitätsbericht 2026 beziffert die illegalen Krypto-Zuflüsse für 2025 auf mindestens 154 Milliarden Dollar, ein Plus von 162 Prozent, getrieben vor allem von einem Anstieg bei sanktionierten Akteuren um 694 Prozent. Der Anteil illegaler Transaktionen am gesamten Krypto-Volumen bleibt dabei unter einem Prozent.

Die Denkfabrik Coin Center rechnet in ihrer Streitschrift gegen das System vor, dass allein die US-Geldwäsche-Compliance mehr als 26 Milliarden Dollar pro Jahr kostet, während nach UN-Schätzung nur rund 0,2 Prozent krimineller Gelder je beschlagnahmt oder eingefroren werden. Der Jurist Peter Van Valkenburgh fasst den akademischen Befund so, dass das aufwendige Regime erstaunlich wenig gegen Kriminalität ausrichte. Die 374.693 deutschen Verdachtsmeldungen mit ihren 1.669 justiziellen Treffern passen in dieses Bild: viel Aufwand, dünne Ausbeute.

Dazu kommt ein Nebeneffekt, der selten mitgedacht wird. Jede KYC-Prüfung zwingt Nutzer, eine vollständige Ausweiskopie bei jeder Börse zu hinterlegen. Diese Datenberge sind selbst ein Angriffsziel; der Einbruch bei Coinbase, bei dem 2025 die Daten von 69.461 Kunden abflossen, zeigt die Kehrseite der Sammelwut. Genau hier setzen Reformideen an, die Identität nur einmal prüfen und danach als Nachweis wiederverwenden wollen, nach dem Prinzip einmal prüfen, überall beweisen. Für den Fall OKX ist das aber nur die halbe Antwort, denn dort lag das Problem nicht in zu viel, sondern in viel zu wenig Kontrolle.

Stablecoins, MiCA und die Verlagerung des Risikos

Ein Detail aus der Malta-Buße verdient besondere Aufmerksamkeit. Die FIAU rügte 2025, dass OKX die Risiken aus Mixern, Privacy Coins, Stablecoins und dezentralen Börsen nicht angemessen erfasst habe. Genau dorthin hat sich das illegale Volumen seither verlagert. Nach Chainalysis entfallen inzwischen rund 84 Prozent aller illegalen Transaktionen auf Stablecoins, weil sie sich grenzüberschreitend schnell bewegen und kaum schwanken. Die FATF empfahl in einem eigenen Bericht im März 2026, Emittenten sollten technische Sperr-, Einfrier- und Sperrlisten-Funktionen in ihre Smart Contracts einbauen, um den Sekundärmarkt überwachbar zu machen.

In Europa greift dieser Hebel über MiCA. Weil Tether für USDT keine EMT-Zulassung beantragt hat, ist der Coin faktisch aus dem regulierten EU-Handel verschwunden, während Circles USDC die Zulassung besitzt. Die Wertpapieraufsicht ESMA setzte den Plattformen am 8. Oktober 2026 eine Frist von drei Monaten, Dienste rund um nicht zugelassene Stablecoins bis zum 8. Januar 2027 abzuwickeln. Für eine Börse wie OKX bedeutet das: Der Teil des Geschäfts, an dem sie in Malta gemessen und für zu nachlässig befunden wurde, ist genau der Teil, den die EU jetzt am engsten führt.

Die Grenze dieses Ansatzes zeigt sich bei Coins, die sich gerade nicht einfrieren lassen. Freeze-resistente Stablecoins, von denen einige bewusst damit werben, keiner Behörde den Zugriff zu gewähren, hebeln die Einfrier-Logik aus. Das Risiko wandert dann weiter, von den regulierten Plattformen zu Konstruktionen, die sich dem Griff entziehen. Die Aufsicht jagt einem beweglichen Ziel hinterher, und der Fall OKX markiert nur die Stelle, an der sie vor einigen Jahren stand.

Was der Fall OKX für Nutzer und Plattformen bedeutet

Für Nutzerinnen und Nutzer lässt sich der Fall in drei Sätze übersetzen. Erstens: Eine MiCA-Lizenz ist ein gutes Zeichen, aber kein Freibrief; sie sagt nichts darüber, wie ernst eine Börse ihre Geldwäschepflichten nimmt. Ein Blick in das öffentliche Register der BaFin oder in europaweite CASP-Verzeichnisse zeigt immerhin, ob überhaupt eine Zulassung vorliegt. Zweitens: Wer nach der Herkunft großer Beträge gefragt wird, erlebt keine Schikane, sondern verstärkte Sorgfalt, wie sie das Gesetz verlangt. Drittens, und das ist die eigentliche Umkehr der Perspektive: Eine Plattform, die beim Onboarding gar nichts wissen will, ist kein bequemer Service, sondern eine Warnung.

Für die Plattformen ist die Lehre noch deutlicher. Ein Geldwäsche-Programm ist kein Aktenordner, sondern ein laufender Betrieb aus Technik, Personal und Kultur. Es nützt nichts, Formulare vorzuhalten, wenn niemand die Transaktionen dahinter überwacht, und es schadet sogar, wenn Mitarbeiter lernen, die eigenen Kontrollen zu umgehen. Die BaFin hat für 2026 in ihrem Papier Risiken im Fokus mindestens 75 Sonderprüfungen angekündigt und die Umsetzung der Travel Rule durch Krypto-Dienstleister zu einem Schwerpunkt erklärt. Wer dann nur Papier-KYC vorweisen kann, erlebt im Kleinen, was OKX im Großen widerfuhr.

Den internationalen Takt gibt die FATF vor, deren Vollversammlung vom 26. bis 30. Oktober 2026 in Paris tagt, erstmals unter britischer Präsidentschaft. Ihr Dauerthema ist dieselbe Lücke, die der Fall OKX freilegt: Regeln stehen fast überall im Gesetzbuch, doch ihre Durchsetzung bleibt löchrig. Der 504-Millionen-Fall ist am Ende kein Skandal über fehlende Vorschriften, sondern über den Abstand zwischen Vorschrift und Vollzug. KYC auf dem Papier ist leicht. KYC, das tatsächlich greift, ist die eigentliche Arbeit, und sie kostet mehr als einen Ordner im Regal.

Häufige Fragen

Warum musste OKX 504 Millionen Dollar zahlen?

Die Betreibergesellschaft Aux Cayes FinTech bekannte sich im Februar 2025 schuldig, über sieben Jahre ein nicht lizenziertes Geldtransfergeschäft betrieben und dabei US-Geldwäschepflichten missachtet zu haben. Über die Plattform liefen mehr als fünf Milliarden Dollar an verdächtigen Transaktionen; eine kommerzielle Transaktionsüberwachung gab es erst ab etwa Mai 2023. Die Strafe setzt sich aus rund 420 Millionen Dollar Einziehung und etwa 84 Millionen Dollar Geldbuße zusammen.

Ist OKX in der EU reguliert?

Ja. OKX Europe hält seit Januar 2025 eine vollwertige MiCA-Lizenz der maltesischen Aufsicht MFSA und seit Februar 2026 zusätzlich eine Zahlungsinstituts-Lizenz. Allerdings verhängte Maltas Geldwäsche-Meldestelle FIAU im April 2025 eine Buße von 1,1 Millionen Euro wegen früherer AML-Mängel. Eine MiCA-Lizenz bestätigt den ordnungsgemäßen Betrieb des Dienstes, nicht ein sauberes Geldwäsche-Programm.

Was ist der Unterschied zwischen KYC und AML?

KYC (Know Your Customer) ist die Identitätsprüfung beim Onboarding, also ein einzelner Baustein. AML (Anti-Money-Laundering) bezeichnet das gesamte Programm gegen Geldwäsche, zu dem neben KYC die laufende Transaktionsüberwachung, der Sanktionsabgleich, die Verdachtsmeldung und eine prüfbare Governance gehören. Bei OKX existierte KYC auf dem Papier, das übrige Programm fehlte weitgehend.

Wer kontrolliert in Deutschland die Geldwäsche bei Krypto-Börsen?

Die BaFin trägt eine Doppelrolle: Sie lizenziert Krypto-Dienstleister unter MiCAR und beaufsichtigt sie zugleich als Geldwäscheaufsicht des Finanzsektors. Verdachtsmeldungen gehen jedoch an die Financial Intelligence Unit bei der Generalzolldirektion, also beim Zoll. Ab 2028 übernimmt die neue EU-Behörde AMLA mit Sitz in Frankfurt die direkte Aufsicht über besonders risikoreiche Institute.

Was ändert sich für Krypto-Nutzer durch die AMLR ab 2027?

Ab dem 10. Juli 2027 verbietet die EU-Geldwäscheverordnung anonyme Krypto-Konten und den Handel mit Anonymisierungs-Coins wie Monero oder Zcash und setzt eine Bargeldobergrenze von 10.000 Euro. Bereits seit Ende 2024 gilt die Travel Rule ohne Bagatellgrenze, sodass bei Transfers Angaben zu Sender und Empfänger mitgeschickt werden; Überweisungen zu selbst verwahrten Wallets lösen ab 1.000 Euro zusätzliche Prüfungen aus.

Anneke de Vries schreibt für HOGE Wire über Krypto-Regulierung, Geldwäscheaufsicht und MiCA in Europa.