Geldwäscheaufsicht 2026: Was BaFin prüft, bevor die AMLA kommt

Das Regelbuch für Krypto-Geldwäsche ist in Deutschland weitgehend geschrieben. Das Geldwäschegesetz gilt, die EU-Geldtransferverordnung ist seit Ende 2024 scharf gestellt, und die große EU-Geldwäscheverordnung steht fest terminiert für Juli 2027 vor der Tür. Die Frage, die 2026 den Ton angibt, lautet deshalb nicht mehr, was in den Paragrafen steht. Sie lautet: Wer kontrolliert, ob sich eine Krypto-Plattform daran hält, und was passiert, wenn die Prüfer Lücken finden?

Drei Kräfte schieben diese Verschiebung vom Schreiben der Regeln zum Durchsetzen an. Die BaFin hat für 2026 mindestens 75 Sonderprüfungen angekündigt, mit zwei ausdrücklichen Krypto-Schwerpunkten. Die Financial Action Task Force (FATF) hat bei ihrem Plenum Ende Oktober Länder mit bedeutsamen Krypto-Märkten, Deutschland eingeschlossen, auf eine beschleunigte Nachprüfung gesetzt. Und die neue EU-Behörde AMLA in Frankfurt kalibriert gerade das Modell, mit dem sie ab 2028 die riskantesten Institute direkt beaufsichtigt. Bitcoin notiert dabei rund 69.000 Euro (CoinGecko), doch um den Kurs geht es hier nicht. Es geht um die Mechanik der Aufsicht.

Vom Regelbuch zur Prüfung: das Jahr der Kontrolle

Jahrelang drehte sich die Krypto-Regulierung in Europa um Texte: Welche Plattform braucht eine Lizenz, wie werden Stablecoins eingeordnet, wann greift MiCA. Dieser Teil ist im Wesentlichen erledigt. Seit dem 1. Juli 2026 ist die MiCA-Übergangsfrist EU-weit abgelaufen, in Deutschland sogar schon seit dem 31. Dezember 2025. Wer hierzulande Krypto-Dienstleistungen anbietet, braucht eine BaFin-Zulassung oder einen EU-Pass; ohne das eine oder andere ist der Betrieb illegal. Das Ergebnis ist ein größerer, sichtbarer und vor allem beaufsichtigter Sektor.

Genau hier setzt die Aufsicht 2026 an. Die BaFin und die Financial Intelligence Unit (FIU) rechnen damit, dass Kundschaft und große Anlagevolumina von nicht lizenzierten zu lizenzierten Anbietern wandern, und sie haben die Branche am 8. Juli 2026 ausdrücklich daran erinnert, dass ein übernommener Kunde eine neue Geschäftsbeziehung ist, die die vollen Sorgfaltspflichten auslöst (BaFin). Mit anderen Worten: Der Wechsel in die legale Zone ist kein Freifahrtschein, sondern der Moment, in dem die Geldwäscheprüfung erst richtig beginnt. Für Nutzerinnen, Nutzer und Plattformen verschiebt sich die entscheidende Frage von „Was sagen die Regeln?“ zu „Was schaut ein Prüfer sich tatsächlich an?“

KYC, AML und wer in Deutschland zuständig ist

Zwei Begriffe werden ständig verwechselt. KYC (Know Your Customer) ist der Einlass: die Identifizierung und Prüfung einer Kundin oder eines Kunden beim Onboarding. AML (Anti-Money-Laundering) ist das ganze Regelwerk darum herum, von der laufenden Überwachung über Verdachtsmeldungen bis zu Sanktionslisten. KYC ist also ein Baustein von AML, nicht sein Synonym. Eine Plattform kann ein tadelloses KYC-Frontend haben und trotzdem an der Geldwäscheaufsicht scheitern, wenn das laufende Monitoring oder die Meldekette nicht funktioniert.

In Deutschland liegt die Zuständigkeit nicht bei der Wertpapieraufsicht, sondern verteilt sich auf zwei Häuser. Die BaFin trägt einen doppelten Hut: Sie erteilt unter dem MiCAR-Regime die Lizenzen und sie beaufsichtigt dieselben Unternehmen nach dem Geldwäschegesetz (GwG). Die FIU, angesiedelt bei der Generalzolldirektion, nimmt die Verdachtsmeldungen entgegen, analysiert sie und leitet sie an die Strafverfolger weiter. Wichtig für das Verständnis der ganzen Debatte: MiCA ist keine Geldwäscheregel. MiCA regelt Zulassung, Wohlverhalten und Verbraucherschutz von Krypto-Dienstleistern (BaFin-Merkblatt); die Geldwäscheaufsicht läuft parallel über GwG, Geldtransferverordnung und bald die EU-Geldwäscheverordnung. Eine MiCA-Lizenz ist, wie der Fall OKX in diesem Jahr gezeigt hat, kein Geldwäsche-Gütesiegel.

Was ein Prüfer bei einem CASP abklopft

Bevor man versteht, was die BaFin prüft, muss man wissen, welche Pflichten überhaupt auf dem Prüfstand stehen. Das GwG macht aus einem Krypto-Dienstleister einen Verpflichteten mit einem festen Katalog an Sorgfaltspflichten. Dazu gehören die Identifizierung jeder Kundin und jedes Kunden mit Vorname, Nachname, Geburtsort, Geburtsdatum, Staatsangehörigkeit und Wohnanschrift (Paragraf 11 GwG), die risikobasierte Einstufung jeder Geschäftsbeziehung (Paragraf 10 und 15), das laufende Monitoring der Transaktionen, die unverzügliche Verdachtsmeldung (Paragraf 43) und ein bestellter Geldwäschebeauftragter. Ein biometrischer „Proof of Human“ ersetzt das übrigens nicht: Er kann die Lebendprüfung härten, aber den gesetzlich geforderten Namen liefert er nicht, wie wir in unserer Analyse zur Krypto-Biometrie ausführlich beschrieben haben.

Nicht jede Kundenbeziehung wird gleich behandelt. Das GwG kennt drei Abstufungen: vereinfachte Sorgfaltspflichten bei nachweislich geringem Risiko (Paragraf 14), die allgemeinen Pflichten als Normalfall und verstärkte Sorgfaltspflichten (Paragraf 15) bei erhöhtem Risiko, etwa bei politisch exponierten Personen, bei Kunden aus Hochrisiko-Drittländern oder bei undurchsichtigen Firmengeflechten. Welche Stufe gilt, leitet der Verpflichtete aus seiner eigenen Risikoanalyse nach Paragraf 5 ab, einem dokumentierten Lagebild der Risiken des Hauses. Genau dieses Dokument ist der Ausgangspunkt jeder Prüfung: Wer sein Risiko nicht sauber analysiert hat, kann es auch nicht risikobasiert steuern, und der Prüfer erkennt das sofort.

Eine Geldwäscheprüfung ist im Kern ein Abgleich: Hat der Verpflichtete für jede dieser Pflichten einen funktionierenden Prozess, und greift dieser in der Praxis? Die folgende Tabelle zeigt die zentralen Prüffelder, ihre Rechtsgrundlage und den typischen Schwachpunkt, an dem ein Prüfer hängen bleibt.

BaFins Prüfprogramm 2026: mindestens 75 Sonderprüfungen

In ihrem Bericht „Risiken im Fokus 2026“ hat die BaFin angekündigt, im Banken- und Nichtbankensektor mindestens 75 Sonderprüfungen durchzuführen. Zwei der Schwerpunkte betreffen Krypto unmittelbar: die Systeme zur Kundenrisiko-Klassifizierung und die Umsetzung der Travel Rule durch Krypto-Dienstleister, die seit Dezember 2024 gilt (BaFin). Im Nichtbankensektor richtet sich der Blick zusätzlich auf die Überwachung von Geschäftsbeziehungen und Transaktionen, unter anderem bei den rund 5.000 in Deutschland registrierten Agenten von EU-Zahlungsinstituten.

Diese Zahl ist kein Papiertiger. Die BaFin führt pro Jahr rund 650 Aufsichtsgespräche und unterhält ein verschärftes Monitoring für bargeldnahe Geschäfte. Birgit Rodolphe, seit Juli 2026 Exekutivdirektorin Anti-Financial Crime der BaFin, benannte den wunden Punkt so: „Wir sehen, dass Kriminelle immer häufiger die Anonymität von neuen Barzahlungsmethoden und Kryptoautomaten ausnutzen, um gesetzliche Regelungen zum Bargeld zu umgehen“ (BaFin). Betreiber von Krypto-Automaten brauchen eine BaFin-Erlaubnis und müssen Kunden spätestens ab 1.000 Euro identifizieren, um das Stückeln von Beträgen (Smurfing) zu erschweren.

Hinzu kommt, dass die Krypto-Branche 2026 gleich doppelt geprüft wird. Parallel zu den nationalen Geldwäsche-Sonderprüfungen der BaFin hat die europäische Wertpapieraufsicht ESMA koordinierte Aufsichtsaktionen für den CASP-Sektor angestoßen, die auf Verwahrung und operative Resilienz zielen. Für ein deutsches Krypto-Unternehmen heißt das: Die Geldwäscheprüfung ist nur eine von mehreren Klappen, die 2026 gleichzeitig aufgehen.

Was eine Sonderprüfung konkret bedeutet

Eine Sonderprüfung nach Paragraf 44 KWG ist keine Schreibtischübung. Die BaFin ordnet sie an, lässt sie häufig von externen Wirtschaftsprüfern durchführen, und die Kosten trägt das geprüfte Institut. Die Prüfer beginnen in der Regel bei der hauseigenen Risikoanalyse nach Paragraf 5 GwG, also der Selbsteinschätzung, wo die Geldwäsche- und Terrorismusfinanzierungsrisiken des Unternehmens überhaupt liegen. Von dort arbeiten sie sich in Stichproben vor: Sie ziehen Kundenakten und prüfen, ob die dokumentierte Risikoeinstufung zur Realität passt, sie testen, ob das Monitoring-System die Muster wirklich erkennt, die es zu erkennen vorgibt, und sie verfolgen einzelne echte Transaktionen von Anfang bis Ende.

Dann folgen die Gespräche: mit dem Geldwäschebeauftragten, der Geschäftsleitung, mitunter der IT. Die Feststellungen werden nach Schwere abgestuft, von geringfügig bis schwerwiegend, und jede ernste Feststellung kommt mit einer Frist zur Beseitigung. Ein makelloser Bericht ist selten; das realistische Ergebnis ist eine Liste von Mängeln, die das Institut abarbeiten muss, oft unter den Augen eines Sonderbeauftragten. Für eine Krypto-Plattform, die schnell gewachsen ist, liegt die unangenehme Wahrheit genau hier: Die Prüfung misst den Betriebszustand, nicht den Glanz des Compliance-Handbuchs. Wer Kontrollen nur beschrieben, aber nie zum Laufen gebracht hat, fällt in diesem Moment auf.

Die Travel Rule als Prüfschwerpunkt

Dass die BaFin ausgerechnet die Travel Rule herausgreift, ist kein Zufall. Die EU-Geldtransferverordnung (VO (EU) 2023/1113) verlangt seit dem 30. Dezember 2024, dass bei jeder Krypto-Überweisung Angaben zu Auftraggeber und Begünstigtem mitgeschickt werden, und zwar ohne Bagatellgrenze; für Transfers an oder von selbstverwahrten Wallets über 1.000 Euro greifen zusätzliche Prüfungen (EUR-Lex). Was im Bankenverkehr seit Jahrzehnten über standardisierte Nachrichten läuft, muss im Krypto-Bereich erst gebaut werden: Es gibt kein SWIFT, keine Identität auf der Blockchain und kein globales Register der Dienstleister.

Der Prüfer fragt deshalb nicht, ob eine Plattform die Travel Rule kennt, sondern ob sie sie operativ umgesetzt hat: Werden die Begleitdaten tatsächlich erzeugt und übermittelt? Wird die Gegenpartei ermittelt, bevor Coins das Haus verlassen? Wie werden Transfers an nicht gehostete Wallets behandelt? Genau an diesen Stellen scheitern viele, und genau dort setzt die Sonderprüfung an. Die Travel Rule ist damit der Lackmustest dafür, ob die Geldwäscheaufsicht im Krypto-Bereich vom Papier in den Code gefunden hat. Wer sie sauber umsetzt, sammelt nebenbei genau die Daten, die bei einer Verdachtsmeldung ohnehin gebraucht werden; wer sie ignoriert, hat im Ernstfall weder die Kontrolle noch die Nachweise.

Technisch hängt die Umsetzung an einem gemeinsamen Datenstandard. Die Branche hat sich auf IVMS 101 geeinigt, ein einheitliches Format, damit die Angaben zu Auftraggeber und Begünstigtem zwischen Plattformen überhaupt lesbar ausgetauscht werden können. Zwei Probleme bleiben hartnäckig. Erstens das sogenannte Sunrise-Problem: Nicht alle Länder stellen die Regel zum selben Zeitpunkt scharf, sodass eine deutsche Plattform ihre Daten oft an eine Gegenstelle schickt, die sie noch gar nicht verlangt oder verarbeiten kann. Zweitens die Ermittlung der Gegenpartei selbst. Bevor Coins das Haus verlassen, muss die Plattform wissen, ob die Empfängeradresse zu einem anderen Dienstleister oder zu einem selbstverwahrten Wallet gehört, und im zweiten Fall ab 1.000 Euro einen Eigentums- oder Kontrollnachweis einholen. Jeder dieser Schritte ist ein eigener Prüfpunkt.

Die Eskalationsleiter: von der Anordnung bis zum Lizenzentzug

Findet eine Prüfung Mängel, hat die BaFin eine abgestufte Werkzeugkiste. Sie beginnt beim Aufsichtsgespräch und der Sonderprüfung, reicht über förmliche Anordnungen und die Bestellung eines Sonderbeauftragten bis hin zu Wachstumsbeschränkungen, Bußgeldern, der Abberufung von Geschäftsleitern und im Extremfall dem Entzug der Erlaubnis. Das Geldwäschegesetz erlaubt für schwere, systematische oder wiederholte Verstöße von Instituten Bußgelder von bis zu fünf Millionen Euro oder zehn Prozent des Jahresumsatzes. Entscheidend ist dabei: Jede Stufe ist eine eigene Hürde, und ein Institut kann auf jeder Stufe hängen bleiben, ohne je an die nächste zu gelangen. Die folgende Tabelle ordnet die Stufen und nennt jeweils ein deutsches Beispiel.

Welche Stufe die BaFin zieht, richtet sich nach dem Grundsatz der Verhältnismäßigkeit: Je schwerer und hartnäckiger die Mängel, desto härter das Mittel. Der Sonderbeauftragte ist dabei das vielleicht wirksamste Instrument unterhalb des Lizenzentzugs. Er ist kein Berater, sondern eine von der Aufsicht eingesetzte Person mit eigenen Befugnissen, die im Haus sitzt, die Nachbesserung überwacht und direkt an die BaFin berichtet. Für ein Institut ist das ein tiefer Eingriff: Reputationsschaden, Mehrkosten und ein Aufseher, der jede Entscheidung mitliest. Dass die BaFin dieses Mittel in den vergangenen Jahren mehrfach im Fintech- und Krypto-nahen Umfeld gezogen hat, zeigt, wie ernst sie die Lücken in der Geldwäschevorsorge nimmt.

Drei deutsche Fälle: N26, Solaris und Bitpanda

Die Eskalationsleiter ist keine Theorie. Der bekannteste Fall ist die Neobank N26. Weil die Geldwäschevorsorge mit dem rasanten Wachstum nicht Schritt hielt, ordnete die BaFin 2021 eine Wachstumsbeschränkung an: N26 durfte nur noch 50.000 Neukunden pro Monat aufnehmen, und ein Sonderbeauftragter überwachte die Nachbesserungen (BaFin). Später kam ein Bußgeld von 9,2 Millionen Euro hinzu, weil Verdachtsmeldungen systematisch zu spät bei der FIU eingingen (procontra). Die Wachstumsbremse hob die BaFin erst nach rund zweieinhalb Jahren wieder auf.

Der zweite Fall ist krypto-näher: die Solaris SE, als Banking-as-a-Service-Anbieter die technische Rückwand vieler Fintech- und Krypto-Angebote. Bereits Ende 2022 ordnete die BaFin Maßnahmen wegen Mängeln im Risikomanagement und in der Geldwäscheprävention an, bestellte einen Sonderbeauftragten und schränkte neue Kooperationspartnerschaften ein. 2024 verlängerte sie die Auflagen, weil die Mängel zum Teil fortbestanden, und verlangte unter anderem dokumentierte Adressprüfungen im Onboarding sowie Transfer- und Auszahlungslimits für bestimmte Konten (BaFin). Und drittens geriet 2026 mit Bitpanda ein prominenter Krypto-Anbieter in die Schlagzeilen: Über eine interne BaFin-Sonderprüfung berichteten Süddeutsche Zeitung und Tagesschau, deren Feststellungen in den Medien als „gravierend“ eingeordnet wurden (BTC-Echo).

Die rote Linie durch alle drei Fälle: Wachstum überholt die Compliance, und eine Lizenz schützt nicht vor der Aufsicht. Prüfungen interessieren sich nicht dafür, ob Kontrollen auf dem Papier existieren, sondern ob sie in der Praxis greifen. Genau diese Unterscheidung zwischen vorhandener und wirksamer Kontrolle ist der Kern jeder Geldwäscheprüfung.

Die Meldekette: FIU, goAML und die Blockchain-Transactions-ID

Das Gegenstück zur Prüfung ist die Meldung. Schöpft ein Verpflichteter Verdacht, muss er unverzüglich eine Verdachtsmeldung an die FIU senden (Paragraf 43 GwG), und er darf den Betroffenen nicht warnen (Verbot des Tipping-off, Paragraf 47). Eingereicht wird elektronisch über das Portal goAML. Die Zahlen zeigen, wie sehr dieser Kanal unter Druck steht: 2025 gingen bei der FIU 374.693 Verdachtsmeldungen ein, rund 41 Prozent mehr als die 265.708 des Vorjahres, getrieben vor allem von digitalen Finanzdienstleistern und Neobanken (shinrai legal).

Die Meldeflut wächst, doch die Zahl der weitergeleiteten Analyseberichte sinkt, ein Hinweis darauf, dass mehr Meldungen nicht automatisch mehr Ermittlungserfolge bedeuten. Für den Krypto-Bereich ist eine Neuerung wichtig: Seit dem 1. März 2026 muss die Blockchain-Transactions-ID Teil der Meldung sein, damit die FIU eine verdächtige Zahlung auf der Kette nachvollziehen kann (Pressebox). Die FIU selbst steht vor einem Umbau: Mit dem Zollfinanzgerechtigkeitsgesetz, das zum 1. Januar 2027 in Kraft tritt, wird die Generalzolldirektion neu geordnet und die Bekämpfung der Finanzkriminalität gebündelt. Die Meldekette, über Jahre als Nadelöhr kritisiert, soll so mehr Durchsatz bekommen.

Die Lücke ist dabei nicht nur eine Frage der Qualität, sondern auch der Reichweite. Von den geschätzt rund 342.000 meldepflichtigen Verpflichteten in Deutschland ist nur ein Bruchteil überhaupt im Portal goAML registriert, obwohl die Registrierung vorgeschrieben ist. Hinzu kommt ein strukturelles Problem: Institute, die eine Strafe für eine zu späte Meldung fürchten, neigen dazu, im Zweifel lieber zu viel zu melden. Diese defensiven Meldungen blähen die Statistik auf, ohne die Trefferquote zu erhöhen, und binden Analysekapazität, die für die wirklich verdächtigen Fälle fehlt. Für Krypto-Dienstleister, die als Neulinge in dieses System eintreten, ist die Versuchung groß, sich mit Masse abzusichern; bewertet wird am Ende aber Qualität und Rechtzeitigkeit, nicht Menge.

Die FATF-Uhr: Deutschland im Kreis der wichtigen Krypto-Märkte

Die nationale Prüfwelle steht nicht für sich. Auf ihrem Plenum vom 28. bis 30. Oktober 2026, dem ersten unter dem britischen Präsidenten Giles Thomson, hat die FATF beschlossen, die Umsetzung ihrer Krypto-Standards in Ländern mit bedeutsamen Krypto-Märkten deutlich zu beschleunigen. Die Behörde startet eine gezielte Überprüfung samt beschleunigtem Nachverfolgungsprozess; die Ergebnisse sollen im Juni und Oktober 2027 veröffentlicht werden (FATF). Weil sich der Kreis dieser Länder an objektiven Kriterien wie Marktgröße und Aktivität bemisst, gehört Deutschland als großer europäischer Krypto-Markt und FATF-Mitglied selbstverständlich dazu. Übersetzt heißt das: Nicht nur die BaFin schaut 2026 genauer hin, auch die internationale Uhr läuft.

Parallel rückt der Betrug ins Zentrum. Das Plenum verabschiedete den ersten FATF-Bericht zu illegalen Geldflüssen rund um sogenannte Scam Compounds, jene industriell betriebenen Betrugszentren in Südostasien, und terminierte die Veröffentlichung auf Anfang November 2026 (ComplyAdvantage). Weltweit summieren sich die Betrugsschäden auf über 500 Milliarden US-Dollar, rund 70 Prozent der Opfer zeigen die Tat nie an. Thomson warnte nach dem Plenum, das Schlimmste stehe wegen fortschreitender Digitalisierung und besser vernetzter Zahlungssysteme erst noch bevor (AML Intelligence). Von der grauen Liste strich die FATF derweil Bulgarien, die Elfenbeinküste, die Demokratische Republik Kongo und Monaco; Nordkorea und Iran bleiben Hochrisikostaaten. Deutschlands eigene Prüfung von 2022 hatte Schwächen gerade im Nicht-Finanzsektor und bei komplexen Firmenstrukturen offengelegt, genau dort, wo Krypto-Geldwäsche gern andockt.

Die eigentliche Druckausübung der FATF läuft nicht über Gesetze, sondern über zwei Listen. Wer bei einer Länderprüfung durchfällt, landet auf der grauen Liste der verstärkt beobachteten Staaten oder, im Extremfall wie Nordkorea und Iran, auf der schwarzen. Eine Listung ist kein juristisches Verbot, sie wirkt über den Markt: Internationale Banken und Investoren ziehen sich zurück, Kapital wird teurer, Korrespondenzbeziehungen brechen weg. Genau diese Hebelwirkung erklärt, warum die beschleunigte Krypto-Nachprüfung in den wichtigen Märkten ernst zu nehmen ist. Eine schwache Aufsicht über Krypto-Dienstleister ist 2026 zunehmend ein Grund, der Länder auf die Liste bringt oder dort hält, und damit ein Risiko, das weit über die einzelne Plattform hinausreicht.

AMLA in Frankfurt: die zentrale Übernahme

Der dritte und langfristig größte Hebel sitzt in Frankfurt. Die neue EU-Geldwäschebehörde AMLA, untergebracht im MesseTurm und geleitet von Bruna Szego, hat zum 1. Januar 2026 die einschlägigen Mandate der Europäischen Bankenaufsicht übernommen. Ihr Zeitplan ist eng getaktet: Methodik im Dezember 2025 veröffentlicht, Datenerhebung zur Kalibrierung der Risikomodelle seit März 2026, erste Auswahl der direkt beaufsichtigten Institute 2027 und direkte Aufsicht ab 2028 (Freshfields). Bis zu 40 grenzüberschreitende Gruppen wird die AMLA in der ersten Runde selbst beaufsichtigen; der Rest bleibt wie bisher bei den nationalen Behörden, also für deutsche Firmen bei der BaFin.

Für den Krypto-Sektor ist das keine Randnotiz. Die AMLA hat den grenzüberschreitenden Krypto-Bereich und neue Zahlungskanäle ausdrücklich zur Aufsichtspriorität erklärt, und Szego nannte das Thema bei ihrem Auftritt vor den EU-Parlamentsausschüssen ECON und LIBE eine unmittelbare Baustelle der jungen Behörde (AMLA). Sie hatte zudem gewarnt, die Migration nach dem Auslaufen der MiCA-Übergangsfristen könne die Geldwäsche kurzfristig schwerer auffindbar machen: Kundinnen und Kunden drängten zu Abhebungen, was die sich zurückziehenden Plattformen zusätzlich unter Druck setze. Für die größten deutschen oder paneuropäischen Krypto-Anbieter bedeutet die Zweiteilung, dass sie es ab 2028 womöglich nicht mehr allein mit der BaFin, sondern direkt mit Frankfurt zu tun bekommen.

Wie die AMLA ihre höchstens 40 Institute auswählt, folgt festen Kriterien: Im Blick sind grenzüberschreitend in mehreren Mitgliedstaaten tätige Gruppen mit erhöhtem Risikoprofil, nicht die vielen rein nationalen Anbieter. Und die direkte Aufsicht bedeutet nicht, dass die BaFin verschwindet. Die AMLA arbeitet mit gemeinsamen Aufsichtsteams, in denen nationale Prüfer und Frankfurter Personal zusammensitzen. Für die große Mehrheit der deutschen CASPs bleibt die BaFin also die erste Adresse, während die Behörde im MesseTurm den Maßstab setzt, an dem sich alle messen lassen müssen. Die Zweiteilung soll verhindern, dass ein Konzern durch die Lücken zwischen den nationalen Aufsehern schlüpft, so wie es einigen Offshore-Plattformen jahrelang gelang.

AMLR und TFR: der Rechtsrahmen, den die Prüfer anwenden

Hinter all dem steht ein Rechtsrahmen, der gerade vom nationalen Flickenteppich auf ein einheitliches EU-Regelbuch umgestellt wird. Die Geldtransferverordnung gilt bereits unmittelbar. Die EU-Geldwäscheverordnung (VO (EU) 2024/1624) tritt am 10. Juli 2027 in volle Anwendung und ersetzt in weiten Teilen das nationale GwG durch direkt geltendes EU-Recht. Sie verbietet anonyme Krypto-Konten und Anonymitäts-Coins wie Monero oder Zcash bei beaufsichtigten Dienstleistern und zieht eine Bargeldobergrenze von 10.000 Euro ein (EUR-Lex). Für die Prüfer bedeutet das: Der Maßstab, an dem sie messen, wird europäisch, und er wird strenger. Die folgende Zeitleiste ordnet die wichtigsten Stationen.

Was es für Nutzer und Anbieter bedeutet

Für Privatpersonen heißt die Prüfwelle vor allem: mehr Fragen. Wer von einer abgewickelten, nicht lizenzierten Plattform zu einem lizenzierten Anbieter wechselt, durchläuft eine volle Identifizierung und, je nach Risikoprofil, verstärkte Sorgfaltspflichten mit Nachweisen zur Herkunft der Mittel. Auszahlungen an das eigene, selbstverwahrte Wallet oberhalb von 1.000 Euro lösen zusätzliche Kontrollen aus, und wer über die Fiat-Brücke oder einen Stablecoin aussteigt, trifft genau dort auf die schärfsten Kontrollpunkte. Dass dieselbe Strenge im Extremfall zur Kontokündigung führen kann, ist die Kehrseite, die wir an anderer Stelle beleuchtet haben. Auch die Welt der Euro-Stablecoins ordnet sich dieser Logik unter: Der regulierte Emittent ist der Kontrollpunkt, an dem eingefroren wird.

Für Anbieter verschiebt sich die Arbeit von der Formulierung von Richtlinien zur Dokumentation wirksamer Prozesse. Eine Sonderprüfung fragt nach Belegen: Wie wurde das Kundenrisiko eingestuft, warum, und wer hat es überprüft? Funktioniert die Travel-Rule-Übermittlung mit realen Gegenparteien? Werden Verdachtsmeldungen unverzüglich und nicht erst im Monatsstapel versandt? Ein vielversprechender Ausweg aus dem Zielkonflikt zwischen Kontrolle und Datensparsamkeit sind datenschonende Nachweise per Zero-Knowledge-Verfahren, wie sie in der Debatte um zk-Beweissysteme diskutiert werden; noch aber haben weder AMLR noch FATF solche Verfahren als eigenständige Compliance anerkannt, sodass die Haftung beim beaufsichtigten Unternehmen bleibt.

Dazu kommt die schlichte Kostenfrage. Geldwäsche-Compliance ist personalintensiv: ein bestellter Geldwäschebeauftragter samt Stellvertreter, ein Monitoring-System, Schulungen, die jährliche Aktualisierung der Risikoanalyse. Wer Teile davon auslagert, etwa an einen spezialisierten Dienstleister oder an einen Banking-as-a-Service-Partner, bleibt nach Paragraf 6 GwG dennoch verantwortlich; der Fall Solaris hat gezeigt, dass eine schwache Rückwand den gesamten davon abhängigen Fintech-Baukasten gefährdet. Für kleinere CASPs ist das ein handfester Wettbewerbsnachteil gegenüber den Großen, die eigene Compliance-Abteilungen unterhalten. Genau diese Schieflage ist einer der Gründe, warum die Konsolidierung im europäischen Krypto-Markt nach dem Ende der Übergangsfristen so schnell voranschreitet.

Der transatlantische Kontrast

Während Europa die Aufsicht verschärft, zieht sich Washington zurück. Präsidiale Begnadigungen in prominenten Krypto-Strafsachen, eine SEC, die Regeln lieber über widerrufliche Verwaltungsinstrumente als über Gesetze setzt, und ein Kongress, der sein großes Marktgesetz nicht durchbrachte, zeichnen das Bild eines Landes, das vom Vollzug auf Zurückhaltung umschaltet; wir haben diese Bilanz des Kurswechsels ausführlich nachgezeichnet. Selbst dort, wo die USA Geldwäscheregeln verschärfen, etwa beim Stablecoin-Gesetz GENIUS, das Emittenten an das Bankgeheimnisgesetz bindet, geschieht das punktuell statt flächendeckend, wie das finale US-Regelwerk zeigt.

Für deutsche Nutzer und Anbieter ist der Kontrast mehr als eine Fußnote. Er bedeutet, dass die strengsten Kontrollpunkte 2026 in Europa liegen und dass die eigentliche Frage nicht lautet, ob die Regeln hart sind, sondern ob die Aufsicht sie durchsetzt. Genau das entscheidet sich in den nächsten beiden Jahren: 2027 greift die AMLR, wählt die AMLA ihre ersten Institute aus, und die FATF-Ergebnisse zu den wichtigen Krypto-Märkten liegen auf dem Tisch. 2026 und 2027 sind damit die Jahre, in denen sich zeigt, ob aus dem geschriebenen Regelbuch eine gelebte Aufsicht wird.

Häufig gestellte Fragen

Was prüft die BaFin 2026 bei Krypto-Unternehmen?

Die BaFin hat für 2026 mindestens 75 Sonderprüfungen im Banken- und Nichtbankensektor angekündigt. Bei Krypto-Dienstleistern stehen vor allem die Systeme zur Kundenrisiko-Klassifizierung und die operative Umsetzung der Travel Rule im Fokus, also ob die vorgeschriebenen Begleitdaten bei Überweisungen tatsächlich erzeugt und übermittelt werden.

Was ist der Unterschied zwischen KYC und AML?

KYC (Know Your Customer) ist die Identifizierung und Prüfung einer Kundin oder eines Kunden beim Onboarding. AML (Anti-Money-Laundering) ist das gesamte Regelwerk dahinter, von der laufenden Überwachung über Verdachtsmeldungen bis zu Sanktionslisten. KYC ist damit ein Baustein von AML, nicht dessen Synonym.

Wer beaufsichtigt Krypto-Geldwäsche in Deutschland?

Zuständig ist die BaFin, die zugleich die MiCAR-Lizenzen erteilt und die Geldwäscheaufsicht nach dem Geldwäschegesetz führt. Die Verdachtsmeldungen laufen bei der FIU zusammen, die bei der Generalzolldirektion angesiedelt ist. Ab 2028 beaufsichtigt zusätzlich die EU-Behörde AMLA in Frankfurt die größten grenzüberschreitenden Gruppen direkt.

Was ändert sich mit der EU-Geldwäscheverordnung 2027?

Die AMLR tritt am 10. Juli 2027 in volle Anwendung und ersetzt in weiten Teilen das nationale GwG durch direkt geltendes EU-Recht. Sie verbietet anonyme Krypto-Konten und Anonymitäts-Coins bei beaufsichtigten Dienstleistern und führt eine Bargeldobergrenze von 10.000 Euro ein.

Muss ich bei Auszahlungen an mein eigenes Wallet mit Prüfungen rechnen?

Für Transfers an oder von selbstverwahrten Wallets über 1.000 Euro verlangt die Geldtransferverordnung zusätzliche Kontrollen, etwa einen Eigentums- oder Kontrollnachweis. Die Zahlungen selbst sind nicht verboten, und reine P2P-Transfers ohne Dienstleister bleiben ausdrücklich ausgenommen.

Von Anneke de Vries, Regulierungsredakteurin bei HOGE Wire.