Der Fall KuCoin: die Volksbörse, die keinen Ausweis wollte

Eine Börse, die keinen Ausweis sehen wollte

Jahrelang war das der Satz, der KuCoin groß gemacht hat: Hier musst du dich nicht ausweisen. Keine Passkopie, kein Selfie-Video, keine Wohnadresse. Wer eine E-Mail-Adresse hatte, konnte handeln. Die Börse nannte sich selbst die Volksbörse, und ein gutes Stück dieses Versprechens bestand schlicht darin, dass niemand nach einem Ausweis fragte. Im Januar 2025 stellte das US-Justizministerium klar, was dieses Versprechen am Ende wert war: rund 297 Millionen US-Dollar, der Rückzug aus dem größten Markt der Welt und, ein Jahr später, ein dauerhaftes Verbot.

Für deutsche Leserinnen und Leser ist der Fall mehr als eine amerikanische Strafsache. Dieselbe Börse, die Washington ausgewiesen hat, hält heute eine MiCA-Lizenz aus Österreich und darf über diese Lizenz auch deutsche Kundinnen und Kunden bedienen. Und auch in Europa holte KuCoin die eigene Vergangenheit ein: Wenige Monate nach der Lizenz verhängte die österreichische Finanzmarktaufsicht ein Neugeschäftsverbot, weil der Börse in Wien die vorgeschriebenen Geldwäsche-Fachleute fehlten. Der Fall KuCoin erzählt damit in einem Bogen, was Know Your Customer (KYC) und Anti Money Laundering (AML) im Kryptomarkt 2026 wirklich bedeuten, und warum eine Lizenz und eine Compliance-Kultur zwei verschiedene Dinge sind.

Der Zeitpunkt passt zur Nervosität des Marktes. Bitcoin notierte am 13. November 2026 bei rund 64.500 Euro, gut zweieinhalb Prozent im Minus binnen eines Tages, die gesamte Kryptokapitalisierung lag nahe 1,3 Billionen Euro (CoinGecko). In solchen Phasen zählt Vertrauen, und Vertrauen ist am Ende genau das, was eine funktionierende Identitätsprüfung herstellen soll. KuCoin ist das Lehrstück dafür, was passiert, wenn eine Börse auf diese Prüfung jahrelang verzichtet und die Lücke sogar als Vorzug verkauft.

KYC und AML: zwei Begriffe, ein Kontrollsystem

Die beiden Kürzel werden oft in einem Atemzug genannt, meinen aber unterschiedliche Dinge. KYC, Know Your Customer, ist der Moment der Identifizierung: Eine Börse stellt fest, wer ihr Kunde ist, prüft einen amtlichen Ausweis, gleicht ein Selfie oder ein Liveness-Video gegen das Dokument ab und kontrolliert den Namen gegen Sanktions- und PEP-Listen. AML, Anti Money Laundering, ist der größere Rahmen, in dem KYC nur ein Baustein ist: die gesamte Maschinerie aus Risikobewertung, laufender Transaktionsüberwachung, Verdachtsmeldungen und Aufbewahrungspflichten, die verhindern soll, dass schmutziges Geld sauber wird.

Die Prüfung kennt zwei Tiefen. Bei normalem Risiko genügt die einfache Sorgfaltspflicht (Customer Due Diligence): Identität feststellen, Zweck der Geschäftsbeziehung verstehen, laufend beobachten. Bei erhöhtem Risiko, etwa bei politisch exponierten Personen oder Zahlungen aus Hochrisikoländern, greift die verstärkte Sorgfaltspflicht (Enhanced Due Diligence) mit zusätzlichen Nachweisen zur Mittelherkunft. Im US-Recht ruht das Ganze auf fünf Säulen, die der Bank Secrecy Act jeder regulierten Finanzinstitution vorschreibt: interne Kontrollen und schriftliche Richtlinien, ein benannter Compliance-Beauftragter, regelmäßige Schulungen, eine unabhängige Prüfung des Programms und, seit 2018 ausdrücklich als fünfte Säule, die risikobasierte Sorgfaltspflicht gegenüber Kunden. Das deutsche Geldwäschegesetz (GwG) kennt dieselbe Logik unter anderen Paragraphen: interne Sicherungsmaßnahmen, einen Geldwäschebeauftragten, die allgemeinen und verstärkten Sorgfaltspflichten der Paragraphen 10, 14 und 15 sowie die Pflicht zur Verdachtsmeldung. Wer eines dieser Elemente weglässt, betreibt kein schlankes Programm, sondern ein unvollständiges.

Dahinter steht ein simples Modell, wie Geldwäsche funktioniert: Platzierung (schmutziges Geld kommt ins System), Verschleierung (es wird durch viele Transaktionen, Wallets und Jurisdiktionen geschleust, bis die Spur verwischt) und Integration (es taucht als scheinbar legitimes Vermögen wieder auf). KYC setzt an der ersten Stufe an, die Transaktionsüberwachung an der zweiten. Fällt die erste Hürde weg, wird die zweite ungleich schwerer, weil niemand weiß, wessen Geld überhaupt fließt. Genau hier liegt der Kern des KuCoin-Falls.

Wer zuständig ist, und wer nicht

Ein verbreitetes Missverständnis vorweg: Bei Krypto-Geldwäsche geht es nicht um die Börsenaufsicht im Sinne der Wertpapierregulierung. In den USA ist nicht die SEC die treibende Kraft, sondern das Financial Crimes Enforcement Network (FinCEN) als Teil des Finanzministeriums, flankiert vom Office of Foreign Assets Control (OFAC) für Sanktionen und dem Justizministerium für die Strafverfolgung. Eine Kryptobörse, die Kundengelder bewegt, gilt in den USA als Money Services Business und muss sich registrieren. Tut sie das nicht, verstößt sie gegen Paragraph 1960 des US-Strafgesetzbuchs, den Tatbestand des unerlaubten Geldtransfergeschäfts. Genau dieser Vorwurf stand bei KuCoin im Zentrum, nicht etwa ein Streit über die Einordnung eines Tokens als Wertpapier.

In Deutschland verläuft die Zuständigkeit parallel. Die BaFin beaufsichtigt Kryptodienstleister sowohl auf der Lizenzseite als auch als Verpflichtete nach dem Geldwäschegesetz; sie betont in ihrem Merkblatt zu Kryptowerte-Dienstleistungen, dass MiCA und GwG die Dienstleister und Emittenten regulieren, nicht das Protokoll dahinter (BaFin). Verdachtsmeldungen laufen nicht bei der BaFin auf, sondern bei der Financial Intelligence Unit (FIU), die bei der Generalzolldirektion angesiedelt ist und die Meldungen seit dem 1. März 2026 im Format goAML mitsamt der Blockchain-Transaktions-ID verlangt. Die Aufgabenteilung ist wichtig, weil sie erklärt, warum eine Börse eine Handelslizenz besitzen und trotzdem ein Geldwäscheproblem haben kann: Es sind zwei verschiedene Prüfungen durch zwei verschiedene Behörden, und bestanden sein müssen beide.

Konkret heißt Überwachung, dass regulierte Anbieter Auffälligkeiten melden müssen. In den USA kennt das System feste Schwellen: Bargeldgeschäfte über 10.000 Dollar lösen einen Currency Transaction Report aus, verdächtige Muster einen Suspicious Activity Report an FinCEN, unabhängig vom Betrag. Das deutsche Geldwäschegesetz verzichtet bewusst auf eine feste Grenze für die Verdachtsmeldung: Gemeldet wird, was auf Geldwäsche oder Terrorismusfinanzierung hindeutet, risikobasiert und zeitnah. Der Preis dieser Logik ist eine hohe Zahl an Meldungen, von denen viele ins Leere laufen, ein Punkt, auf den die Bilanz weiter unten zurückkommt.

Keine Ausweispflicht als Geschäftsmodell

KuCoin wurde 2017 gegründet und wuchs in einem bestimmten Segment schnell: Nutzer, die ohne Umwege handeln wollten, oft an jungen oder exotischen Token interessiert, die auf streng regulierten Plattformen gar nicht gelistet waren. Das Versprechen, keine Identität preisgeben zu müssen, war dabei kein Nebeneffekt, sondern laut Anklage Teil des Wachstumsmodells. Bis etwa Juli 2023 verlangte die Börse von neuen Kunden keinerlei Ausweisdokumente, und in der Außendarstellung warben Mitarbeiter offen damit, dass es kein KYC-Programm gebe (BleepingComputer). Für ein Publikum, das Diskretion schätzte, war genau das der Reiz.

Erst unter wachsendem Regulierungsdruck vollzog die Börse die Kehrtwende. Ende Juni 2023 kündigte KuCoin an, ab dem 15. Juli 2023 für alle neu registrierten Nutzer eine verpflichtende Identitätsprüfung mit Foto-Ausweis und Gesichtserkennung einzuführen; der damalige CEO Johnny Lyu begründete das mit der Anpassung an weltweite regulatorische Anforderungen (Business Wire). Das Entscheidende aus Sicht der US-Ermittler: Die Pflicht galt nur für Neukunden. Die Millionen Bestandskonten, über die jahrelang ungeprüft Geld geflossen war, blieben zunächst außen vor. Eine Identitätsprüfung, die erst nach Jahren und nur nach vorne wirkt, schließt die Tür nicht, sie lehnt sie nur an.

Das ist der Unterschied zu einem Fall wie OKX, bei dem Kontrollen auf dem Papier existierten, aber nicht wirksam arbeiteten, eine Papier-KYC. Bei KuCoin fehlte die Hürde über Jahre schlicht ganz, und ihre Abwesenheit war ein Verkaufsargument. Beide Enden führen zum selben Ergebnis, aber KuCoin zeigt den Extremfall: KYC nicht als lästige Pflicht, die man schludrig erfüllt, sondern als bewusst weggelassene Funktion, die man Nutzern als Freiheit anpries.

Fairerweise gehört zur Geschichte, dass viele Nutzer keine Kriminellen waren, sondern schlicht ihre Daten nicht bei einer Börse hinterlegen wollten, ein nachvollziehbares Anliegen in einer Branche, die regelmäßig gehackt wird. Genau diese Spannung macht die Debatte schwer: Datenschutz und Geldwäscheprävention ziehen in entgegengesetzte Richtungen. Der Gesetzgeber hat sie eindeutig aufgelöst: Wer ein reguliertes Finanzgeschäft betreibt, muss seine Kunden kennen; das Recht auf Privatsphäre endet dort, wo das Finanzsystem vor Missbrauch geschützt werden soll. KuCoins Fehler war nicht, Privatsphäre zu schätzen, sondern eine lizenzpflichtige Tätigkeit ohne die dazugehörigen Pflichten auszuüben.

Was durch KuCoin floss

Die Zahlen, die das Justizministerium vorlegte, zeigen, warum die fehlende Identitätsprüfung kein Kavaliersdelikt war. Nach Darstellung der Behörden floss über KuCoin Geld aus eindeutig kriminellen Quellen: Die Börse empfing rund 5,39 Milliarden US-Dollar und versendete etwa 4,09 Milliarden US-Dollar an Mitteln, die mit illegalen Aktivitäten in Verbindung standen, von Darknet-Marktplätzen über Ransomware und Schadsoftware bis zu Betrugsmaschen und Sanktionsverstößen (BleepingComputer). In Summe bewegte die Plattform damit Milliardenbeträge aus verdächtigen Quellen, ohne jene Hürde, die genau das hätte auffallen lassen sollen.

Besonders heikel ist der Sanktionsbezug. Wenn eine Börse nicht weiß, wer ihre Kunden sind, kann sie auch nicht ausschließen, dass sie Gelder von sanktionierten Adressen oder aus sanktionierten Jurisdiktionen bewegt, ein eigener, scharf verfolgter Verstoß, der in den USA unter das OFAC-Regime fällt. Genau hier wird die fehlende Identitätsprüfung von einem Compliance-Mangel zu einem außenpolitischen Risiko: Ohne KYC gibt es kein Sanktionsscreening, und ohne Sanktionsscreening wird jede Plattform zur potenziellen Umgehungsroute.

Danielle R. Sassoon, zum Zeitpunkt des Schuldeingeständnisses US-Staatsanwältin für den Südbezirk von New York, fasste den Vorwurf knapp zusammen: „KuCoin avoided implementing required anti-money laundering policies designed to identify criminal actors and prevent illicit transactions“ (CoinDesk). Übersetzt: Die Börse habe die vorgeschriebenen Maßnahmen bewusst nicht umgesetzt, die kriminelle Akteure hätten erkennen und illegale Transaktionen hätten verhindern sollen. Es ist eine Feststellung über Vorsatz, nicht über Nachlässigkeit.

Diese Art von Geldfluss ist kein Einzelfall, sondern das Umfeld, in dem Kryptobörsen operieren. Ein erheblicher Teil der nachverfolgten kriminellen Erlöse stammt heute aus Betrug und Erpressung, und die Wäscher nutzen bevorzugt dieselben liquiden Kanäle wie alle anderen. Welche Rolle organisierte Betrugsnetzwerke dabei spielen, hat diese Redaktion zuletzt am Beispiel der sogenannten Scam-Compounds nachgezeichnet, deren Erlöse zu großen Teilen über Stablecoins und Börsen gewaschen werden. Eine Börse ohne Identitätsprüfung ist für solche Netzwerke kein Hindernis, sondern eine Einladung.

Das Schuldeingeständnis: 297 Millionen und der Rückzug

Am 27. Januar 2025 bekannte sich Peken Global Limited, die Betreibergesellschaft hinter KuCoin, vor dem Bundesgericht in Manhattan schuldig, ein unerlaubtes Geldtransfergeschäft betrieben zu haben (US-Justizministerium). Die Einigung umfasste rund 297 Millionen US-Dollar, umgerechnet gut eine Viertelmilliarde Euro: eine Einziehung von 184,5 Millionen Dollar plus eine Strafe von etwa 112,9 Millionen Dollar. Bemerkenswert ist die Höhe der Einziehung, denn sie entsprach fast genau den Gebühren, die KuCoin von seinen rund 1,5 Millionen US-Kunden eingenommen hatte. Der Gewinn aus dem unregulierten Geschäft wurde also abgeschöpft.

Die beiden Gründer, Chun „Michael“ Gan und Ke „Eric“ Tang, beide chinesische Staatsbürger, schlossen Vereinbarungen über eine zurückgestellte Strafverfolgung, gaben zusammen rund 2,7 Millionen Dollar ab und zogen sich aus der operativen Führung zurück (CoinDesk). Vor allem aber verpflichtete sich KuCoin, den US-Markt für mindestens zwei Jahre vollständig zu verlassen. Eine der nach Nutzerzahlen zeitweise größten Börsen der Welt verschwand damit aus dem wichtigsten Markt, und zwar nicht wegen eines juristischen Grenzfalls, sondern wegen einer fehlenden Identitätsprüfung.

Für die betroffenen Nutzer war der Rückzug mehr als eine Schlagzeile. Wer Guthaben auf der Plattform hielt, musste es abziehen oder auf andere Anbieter migrieren, und der Fall reihte sich in eine Serie ein, die Anlegern vor Augen führte, wie schnell der Zugang zu einer Offshore-Börse enden kann. Zugleich sendete die Einigung ein Signal an die Branche: Das Justizministerium behandelte die fehlende Identitätsprüfung nicht als technische Lappalie, sondern als Kern des Delikts. Wer eine Börse baut, baut ein Finanzinstitut, mit allen Pflichten, die dazugehören.

Die fünf Säulen und KuCoins Lücken

Legt man den KuCoin-Fall über die fünf AML-Säulen, wird sichtbar, dass nicht ein Detail fehlte, sondern das Fundament. Die folgende Übersicht stellt die Anforderungen des US-Rechts den dokumentierten Lücken gegenüber.

Die Tabelle macht klar, warum die Strafverfolger von einem strukturellen, nicht einem punktuellen Versagen sprachen. Eine einzelne verpasste Verdachtsmeldung ist ein Fehler; das vollständige Fehlen der Eingangskontrolle ist ein Geschäftsmodell.

Vom Rückzug zum Dauerbann

Der Rückzug für zwei Jahre war nicht das Ende. Parallel zum Strafverfahren hatte die US-Terminmarktaufsicht CFTC bereits im März 2024 Peken Global und drei weitere KuCoin-Gesellschaften verklagt, weil sie eine unregistrierte Derivateplattform betrieben und kein wirksames Kundenidentifizierungsprogramm vorgehalten hätten. Am 30. März 2026 machte ein Bundesgericht daraus einen dauerhaften Bann: Peken Global darf US-Teilnehmern den Zugang nur noch erlauben, wenn es sich als Foreign Board of Trade registriert, und zahlte eine zivilrechtliche Strafe von 500.000 Dollar (CoinDesk). Aus dem befristeten Rückzug wurde damit faktisch ein Dauerausschluss für rund 1,5 Millionen frühere US-Nutzer.

KuCoin steht mit diesem Muster nicht allein. Es ist der jüngste Fall in einer Reihe von Offshore-Börsen, die ohne ausreichende Identitätsprüfung in den US-Markt hineinwuchsen und dafür zur Kasse gebeten wurden. Die folgende Übersicht ordnet die Welle ein.

Binance bleibt mit über 4,3 Milliarden Dollar der Rekord, davon 3,4 Milliarden an FinCEN und 968 Millionen an OFAC, bei über 100.000 Transaktionen ohne eine einzige Verdachtsmeldung (US-Justizministerium). KuCoin ist die kleinere Zahl, aber in gewisser Weise der klarere Fall: Hier wurde die Kontrolle nicht umgangen, sie war nie eingebaut.

Das wiederkehrende Muster ist kein Zufall. Offshore-Börsen siedelten sich bewusst in Jurisdiktionen mit schwacher Aufsicht an, bedienten aber Kunden weltweit, auch in den USA und Europa, und sparten sich die teure Compliance, die lizenzierte Wettbewerber tragen mussten. Dieses Gefälle, in der Fachsprache regulatorische Arbitrage, verschaffte ihnen einen Kostenvorteil und zugleich ein Einfallstor für kriminelle Gelder. Die Enforcement-Welle der Jahre 2021 bis 2026 ist der Versuch, diesen Vorteil nachträglich einzupreisen und das Spielfeld zu ebnen.

Der zweite Akt: eine MiCA-Lizenz aus Wien

Während Washington die Tür zuschlug, öffnete Europa sie. Am 27. November 2025 erteilte die österreichische Finanzmarktaufsicht (FMA) der KuCoin EU Exchange GmbH mit Sitz in Wien eine CASP-Lizenz nach der EU-Verordnung MiCA (CASP Tracker). Diese Lizenz ist mehr als eine österreichische Angelegenheit: Über den MiCA-Pass darf KuCoin damit in 29 Staaten des Europäischen Wirtschaftsraums Dienste anbieten, Deutschland eingeschlossen. Die Börse, die aus den USA ausgewiesen wurde, war in der EU plötzlich zugelassen, und zwar flächendeckend.

Doch die Compliance-Schwäche reiste mit. Nur knapp drei Monate später, am 19. Februar 2026, verhängte dieselbe FMA ein Neugeschäftsverbot gegen die Wiener Gesellschaft. Der Grund: KuCoin EU verfügte nicht mehr über die gesetzlich vorgeschriebenen Schlüsselfunktionen in der Geldwäsche- und Sanktionsprävention, konkret fehlten der Geldwäschebeauftragte und der Sanktionenbeauftragte samt ihren Stellvertretern (BTC-ECHO). Die FMA stellte klar, dass die nachhaltige Besetzung dieser Funktionen eine zentrale Voraussetzung für den ordnungsgemäßen Geschäftsbetrieb sei. Übersetzt heißt das: Eine Lizenz zu besitzen und die Leute zu haben, die Geldwäsche tatsächlich verhindern, ist nicht dasselbe.

KuCoin reagierte und baute die Compliance am Standort Wien aus. Als neue Geldwäschebeauftragte holte die Börse Carmen Kleinhans, zuvor in leitenden Compliance-Rollen bei der Raiffeisenlandesbank Niederösterreich-Wien, der Banco do Brasil und der ICBC Austria, dazu zwei Stellvertreter (Brutkasten). Sabina Liu, Geschäftsführerin von KuCoin EU, betonte, der Fokus bleibe darauf, starke regulatorische Standards zu erfüllen, während man die Präsenz unter dem MiCAR-Rahmen ausbaue. Im Mai 2026 hob die FMA das Neugeschäftsverbot wieder auf, nachdem die vakanten Rollen neu besetzt waren. Mit Stand 12. November 2026 führt das ESMA-Register KuCoin EU als zugelassen und MiCA-konform (CASP Tracker).

Der Fall fügt sich in eine größere Debatte über Österreich als MiCA-Standort. Die FMA hat in kurzer Zeit mehrere internationale Börsen zugelassen und positioniert den Standort offensiv; Beobachter fragen, ob die Eingangsprüfung mit diesem Tempo Schritt hält. Für den gemeinsamen Markt ist das keine rein österreichische Frage, denn eine in Wien erteilte Lizenz gilt eben auch in Frankfurt, Paris und Madrid. Genau deshalb drängen mehrere nationale Aufseher darauf, große CASPs künftig zentral über die AMLA zu beaufsichtigen, statt die Prüftiefe dem Standortwettbewerb zu überlassen.

Für die Bewertung des Falls ist diese Episode zentral. Sie zeigt, dass eine MiCA-Lizenz eine Momentaufnahme ist, kein Dauerzustand, und dass die Aufsicht genau hinschauen muss, ob die Kontrollen nicht nur auf dem Papier, sondern auch im Personalraum existieren. Dass ausgerechnet die Geldwäsche- und Sanktionsfunktionen unbesetzt waren, bei einer Börse mit genau dieser Vorgeschichte, ist die bittere Pointe. Positiv gewendet zeigt der Vorgang aber auch, dass die europäische Aufsicht den Finger an den Puls legte und binnen Monaten eingriff, statt Jahre zu warten.

Was das für deutsche Nutzer bedeutet

Wer in Deutschland ein KuCoin-EU-Konto nutzt, bewegt sich in einer zweigeteilten Aufsicht, und das ist typisch für den MiCA-Pass. Die Lizenz kommt vom Herkunftsstaat, hier Österreich mit der FMA; sie erlaubt das grenzüberschreitende Geschäft. Die Pflichten zur Geldwäscheprävention aber folgen dem Geschäft in jeden Markt, in dem es tätig ist. In Deutschland ist die BaFin die GwG-Aufsicht, und Verdachtsmeldungen über deutsche Kunden laufen bei der FIU bei der Generalzolldirektion auf. Eine Lizenz aus Wien entbindet also nicht von den Regeln, die hierzulande gelten; sie verschiebt nur, wer die Lizenz selbst erteilt hat.

Diese Trennung zwischen Herkunfts- und Aufnahmestaat ist kein bürokratisches Detail, sondern der Hebel, an dem die EU ihre Geldwäscheaufsicht künftig straffen will. Heute kann eine Börse in dem Mitgliedstaat Lizenz nehmen, der am schnellsten oder am mildesten prüft, und von dort in alle anderen passen. Genau dieses Gefälle soll die neue EU-Behörde AMLA ab 2028 verringern, indem sie die risikoreichsten grenzüberschreitenden Anbieter direkt beaufsichtigt. Für deutsche Nutzerinnen und Nutzer bedeutet das vorerst praktisch: Die BaFin prüft, der Zoll sammelt die Meldungen, das europäische Regelwerk zieht die eigentliche Linie, und ab 2028 schaut Frankfurt bei den großen Anbietern selbst genauer hin.

Konkret heißt das auch, dass deutsche Kunden einer in der EU lizenzierten Börse heute dieselbe Prozedur durchlaufen wie bei einer Bank: Ausweis hochladen, Liveness-Check, Abgleich gegen Sanktionslisten, laufende Beobachtung des Kontos. Wer bei einer 2026 in der EU tätigen Plattform auf keinerlei solche Prüfung stößt, sollte das nicht als Komfort, sondern als Warnzeichen lesen.

Der EU-Rahmen, der jetzt gilt

Für KuCoin wie für jede andere in der EU zugelassene Börse gilt ab Mitte 2027 ein deutlich strengeres Regelwerk. Die Geldwäscheverordnung AMLR entfaltet ihre volle Wirkung am 10. Juli 2027 und bringt drei harte Neuerungen: ein Verbot anonymer Krypto-Konten, ein faktisches Verbot von Anonymitäts-Coins wie Monero oder Zcash für regulierte Anbieter und eine EU-weite Bargeldobergrenze von 10.000 Euro (EUR-Lex). Was dieses Verbot für Privacy Coins und ihre Nutzer konkret heißt, hat diese Redaktion gesondert beleuchtet.

Schon seit dem 30. Dezember 2024 gilt zudem die neu gefasste Geldtransferverordnung (TFR), die Krypto-Transfers ohne Schwellenwert der Travel Rule unterwirft: Name und Daten von Sender und Empfänger müssen mitgeschickt werden, und bei Transfers von oder zu selbstverwahrten Wallets über 1.000 Euro muss der Anbieter die Inhaberschaft prüfen (EUR-Lex). Wichtig für die oft aufgeregte Debatte: Die Selbstverwahrung selbst ist nicht verboten. Patrick Hansen, Europachef des Stablecoin-Emittenten Circle, hat das mehrfach klargestellt: „Self custody wallets are not banned. Payments to/from self custody wallets are not banned. P2P transfers are explicitly excluded from AMLR“ (The Block). Verboten wird nicht das Selbstverwahren, sondern das anonyme Durchschleusen über regulierte Schnittstellen.

Ein verbreiteter Irrtum ist, MiCA und die Geldwäscheregeln in einen Topf zu werfen. MiCA regelt, wer überhaupt Kryptodienste anbieten darf, also die Zulassung, die Eigenkapitalausstattung, den Anlegerschutz. Die Geldwäschepflichten stehen daneben in AMLR, TFR und dem nationalen GwG. Eine MiCA-Lizenz zu haben bedeutet deshalb nicht automatisch, die AML-Prüfung bestanden zu haben, wie der Fall KuCoin in Wien eindrücklich zeigte. Beide Regelwerke greifen ineinander, aber sie sind nicht dasselbe, und eine Börse kann das eine erfüllen und am anderen scheitern.

Überwacht wird dieses Regelwerk zunehmend zentral. Die AMLA hat ihren Sitz in Frankfurt, wird von Bruna Szego geleitet und soll ab 2028 bis zu 40 besonders risikoreiche Institute direkt beaufsichtigen, wobei der Kryptosektor ausdrücklich als vordringliche Priorität benannt ist (AMLA). Die folgende Zeitleiste ordnet die Etappen.

Bringt die Überwachung, was sie kostet?

So eindeutig der KuCoin-Fall ist, so offen bleibt die größere Frage: Verhindert all diese Überwachung tatsächlich Geldwäsche, oder produziert sie vor allem Kosten und Datenberge? Die Antwort ist unbequem zweigeteilt. Einerseits ist die Blockchain-Analyse ein mächtiges Werkzeug, und offshore ohne KYC zu wachsen endet, wie KuCoin zeigt, inzwischen verlässlich vor Gericht. Andererseits sind die Fangquoten bescheiden. Nach dem Krypto-Kriminalitätsbericht von Chainalysis flossen 2025 mindestens 154 Milliarden Dollar an illegale Adressen, wobei kriminelle Transaktionen weniger als ein Prozent des gesamten On-Chain-Volumens ausmachen und Stablecoins inzwischen rund 84 Prozent der illegalen Ströme tragen (Chainalysis).

Dass ausgerechnet Stablecoins zum bevorzugten Transportmittel geworden sind, verschiebt die Aufsicht, denn Emittenten können Guthaben einfrieren, und ein zunehmend regulierter Dollar-Token wie USDC steht heute unter europäischer Aufsicht. Auf der Kostenseite steht derweil eine Meldelawine. Die deutsche FIU erhielt 2025 rund 374.693 Verdachtsmeldungen, 41 Prozent mehr als im Vorjahr, von denen am Ende nur 1.669 in ein Urteil, einen Strafbefehl oder eine Anklage mündeten; rund 96 Prozent der Vorgänge wurden eingestellt (Zoll). Ein System, das eine Drittelmillion Meldungen produziert und daraus wenige hundert Verurteilungen gewinnt, ist teuer und unscharf zugleich.

Der Grund für die Lücke zwischen Meldungen und Verurteilungen liegt in der Natur der Überwachung: Transaktionsmonitoring erzeugt massenhaft Fehlalarme. Ein großer Teil der Verdachtsmeldungen entsteht defensiv, weil Institute lieber einmal zu viel als einmal zu wenig melden, um nicht selbst zu haften. Das Ergebnis ist ein System, das Ermittler mit Daten flutet, statt sie zu fokussieren. KuCoin steht für das eine Extrem, zu wenig Kontrolle; die Meldelawine steht für das andere, viel Aufwand bei schmaler Ausbeute. Die ehrliche Antwort liegt irgendwo dazwischen.

Kritiker ziehen daraus eine scharfe Bilanz. Peter Van Valkenburgh vom US-Forschungszentrum Coin Center verweist auf Schätzungen, wonach weltweit nur etwa 0,2 Prozent der kriminellen Gelder beschlagnahmt oder eingefroren werden, während die Compliance-Kosten jährlich in die zweistelligen Milliarden gehen; den Ertrag gemessen am Aufwand nennt er „remarkably little“ (Coin Center). Hinzu kommt ein Risiko, das der KuCoin-Fall indirekt unterstreicht: Jede Börse, die Millionen Ausweiskopien sammelt, wird selbst zum Ziel. Der Datendiebstahl bei Coinbase, bei dem Angreifer 2025 die Daten von 69.461 Nutzern erbeuteten, zeigt, dass die Pflicht-Datensammlung zum Honigtopf wird (CoinDesk). Dass es zukunftsfähigere Wege gibt, Identität zu belegen, ohne sie bei jeder Börse zu hinterlegen, etwa mit kryptografischen Nullwissen-Beweisen, ist ein eigenes, wachsendes Forschungsfeld. Der KuCoin-Fall sagt nichts über die Obergrenze dieser Debatte, aber viel über ihre Untergrenze: Eine Börse ganz ohne Eingangskontrolle ist keine schlanke Lösung, sondern eine offene Waschanlage.

Trust, Built-in: der Umbau einer No-KYC-Börse

Die vielleicht aufschlussreichste Fußnote des Falls ist, wie KuCoin sich heute präsentiert. Unter dem seit Januar 2025 amtierenden CEO BC Wong, zuvor Chefsyndikus der Börse, hat das Unternehmen eine globale Markenkampagne unter dem Motto Trust, Built-in gestartet, samt einer als KuCoin 5.0 beworbenen Plattformüberarbeitung mit Fokus auf Sicherheit, Compliance und Künstliche Intelligenz. Dass eine Börse, deren Wachstum einst auf der Abwesenheit jeder Identitätsprüfung beruhte, nun eingebautes Vertrauen zum Slogan macht, ist mehr als Ironie; es ist das Eingeständnis, dass KYC und AML keine lästige Randbedingung sind, sondern die Eintrittskarte in den regulierten Markt.

Für den Kryptomarkt insgesamt markiert KuCoin eine Zeitenwende. Die Ära, in der eine Börse ohne Ausweispflicht groß werden und das als Feature verkaufen konnte, ist vorbei. In den USA endet dieser Weg inzwischen im Dauerbann, in der EU im Lizenzregime von MiCA, flankiert von AMLR, TFR und ab 2028 der zentralen Aufsicht durch die AMLA in Frankfurt. Für Nutzerinnen und Nutzer heißt das ganz praktisch: Eine Börse, die 2026 nach dem Ausweis fragt, tut nicht etwas Übergriffiges, sondern das rechtlich Vorgeschriebene; eine, die es nicht tut, sollte misstrauisch machen.

Die offene Frage bleibt, ob mehr Kontrolle am Eingang tatsächlich weniger Kriminalität am Ende bedeutet oder vor allem die Last auf ehrliche Nutzer und kleine Anbieter verlagert. KuCoin liefert darauf keine Antwort, aber eine klare Lehre über die Mindestanforderung: Wer eine Finanzplattform betreibt, muss wissen, wer seine Kunden sind. Alles andere ist, wie der Fall zeigt, nur eine Frage der Zeit, bis die Rechnung kommt, erst in Dollar, dann in Lizenzauflagen.

Häufige Fragen

Ist KuCoin in Deutschland legal nutzbar?

Ja. Die KuCoin EU Exchange GmbH hält seit dem 27. November 2025 eine MiCA-Lizenz der österreichischen FMA und darf über den EU-Pass auch in Deutschland Dienste anbieten. Nach einem vorübergehenden Neugeschäftsverbot führt das ESMA-Register KuCoin EU mit Stand November 2026 wieder als zugelassen und MiCA-konform. Für deutsche Nutzer gelten dabei die EU-Geldwäscheregeln sowie die Aufsicht durch BaFin und FIU.

Warum musste KuCoin 297 Millionen Dollar zahlen?

KuCoins Betreibergesellschaft Peken Global bekannte sich im Januar 2025 schuldig, in den USA ein unerlaubtes Geldtransfergeschäft betrieben zu haben. Die Börse hatte über Jahre keine verpflichtende Identitätsprüfung und keine wirksame Geldwäscheprävention, worüber Milliarden aus kriminellen Quellen flossen. Die Einigung umfasste 184,5 Millionen Dollar Einziehung plus rund 112,9 Millionen Dollar Strafe.

Was ist der Unterschied zwischen KYC und AML?

KYC (Know Your Customer) ist die Identifizierung des Kunden, also die Ausweisprüfung bei der Kontoeröffnung. AML (Anti Money Laundering) ist der größere Rahmen aus Risikobewertung, laufender Transaktionsüberwachung, Verdachtsmeldungen und Aufbewahrungspflichten. KYC ist damit ein Baustein der AML-Pflichten, nicht ihr Ersatz.

Verbietet die EU künftig selbstverwahrte Wallets?

Nein. Die Selbstverwahrung bleibt erlaubt, und auch Zahlungen von und zu selbstverwahrten Wallets sind nicht verboten. Ab Transfers über 1.000 Euro muss ein Anbieter allerdings die Inhaberschaft des Wallets prüfen, und die AMLR verbietet ab Juli 2027 anonyme Krypto-Konten sowie Anonymitäts-Coins für regulierte Anbieter.

Woran erkenne ich eine seriöse Kryptobörse?

Ein zuverlässiges Signal ist eine gültige MiCA-Lizenz, die sich im ESMA-Register oder über die BaFin nachprüfen lässt, verbunden mit einer verpflichtenden Identitätsprüfung. Eine Plattform, die 2026 ganz auf KYC verzichtet oder damit wirbt, bewegt sich außerhalb des EU-Rahmens; der Fall KuCoin zeigt, wohin das führt.

Von Anneke de Vries, Redaktion Regulierung, HOGE Wire.