Im oberen Drittel eines Frankfurter Hochhauses arbeitet seit dem 1. Juli 2025 eine Beh\u00f6rde, von der die meisten Krypto-Nutzer noch nie geh\u00f6rt haben, die ihr Onboarding, ihre Auszahlungen und wom\u00f6glich bald ihre Privatsph\u00e4re pr\u00e4gen wird: die Anti-Money Laundering Authority, kurz AMLA. Zum ersten Mal bekommt die Europ\u00e4ische Union eine zentrale Aufsicht gegen Geldw\u00e4sche, und ihr Sitz steht auf deutschem Boden. Ihre Vorsitzende, die Italienerin Bruna Szego, hat eine unbequeme Botschaft im Gep\u00e4ck: Das Regelwerk f\u00fcr Krypto war noch nie so dicht, und trotzdem, warnt sie, k\u00f6nnte Geldw\u00e4sche kurzfristig schwerer zu fassen sein als zuvor.<\/p>
F\u00fcr eine Branche, die mit dem Versprechen der Selbstbestimmung angetreten ist, sind KYC (Know Your Customer) und AML (Anti-Money Laundering) der unromantischste Teil der Geschichte. Und der folgenreichste. Jedes Mal, wenn jemand ein Konto bei einer deutschen oder europ\u00e4ischen Krypto-B\u00f6rse er\u00f6ffnet, den Ausweis vor die Kamera h\u00e4lt und auf die Freischaltung wartet, ber\u00fchrt er diese Maschinerie. Bei einem Bitcoin-Kurs von rund 65.800 Euro<\/a> Ende August 2026 und einem Markt, der wieder Milliarden anzieht, ist die Frage, wer hier eigentlich wen kontrolliert, l\u00e4ngst keine akademische mehr.<\/p> Dieser Text erkl\u00e4rt, wie KYC und AML bei Krypto in Deutschland und der EU im Jahr 2026 tats\u00e4chlich funktionieren: welche Beh\u00f6rden zust\u00e4ndig sind, was bei der Kontoer\u00f6ffnung wirklich passiert, welche Pflichten Anbieter treffen, was sich 2027 \u00e4ndert, warum eine Rekord-Strafwelle \u00fcber die Branche rollt und ob das alles \u00fcberhaupt h\u00e4lt, was es verspricht.<\/p> In der Alltagssprache werden die beiden Begriffe durcheinandergeworfen, dabei bezeichnen sie zwei verschiedene Dinge. AML ist der Oberbegriff: das gesamte rechtliche und operative System, das verhindern soll, dass das Finanzsystem zum Waschen krimineller Erl\u00f6se oder zur Terrorfinanzierung genutzt wird. KYC ist nur ein Baustein davon, n\u00e4mlich der Prozess, mit dem ein Anbieter feststellt und \u00fcberpr\u00fcft, wer sein Kunde ist. Wer „KYC“ sagt, meint oft die ganze Compliance-Abteilung; genau genommen ist KYC die Identit\u00e4t, AML die gr\u00f6\u00dfere Maschine aus Risikobewertung, \u00dcberwachung, Meldewesen, Sanktionspr\u00fcfung und Governance.<\/p> Warum existiert das Ganze? Geldw\u00e4sche macht schmutziges Geld in drei Phasen sauber. In der Platzierung gelangt Bargeld ins System. In der Verschleierung (im Fachjargon Layering) wird es durch m\u00f6glichst viele Stationen geschleust, um die Spur zu kappen. In der Integration kehrt es als scheinbar legitimes Verm\u00f6gen zur\u00fcck. Krypto ist bei der Platzierung am schw\u00e4chsten, denn der Umtausch von Euro in Coins l\u00e4uft \u00fcber wenige Ein- und Ausstiegspunkte, und genau dort sitzt die KYC-Pr\u00fcfung. Am st\u00e4rksten ist Krypto beim Layering: schnelle Spr\u00fcnge \u00fcber Ketten hinweg, Mixer, Bridges.<\/p> Die gesamte Architektur folgt deshalb einer einfachen Idee: Menschen an den T\u00fcren identifizieren (an den On- und Off-Ramps, den B\u00f6rsen und Verwahrern), die Str\u00f6me beobachten und die auff\u00e4lligen melden. Alles andere ist Detail. Der Rest dieses Textes buchstabiert dieses Detail f\u00fcr den deutschen und europ\u00e4ischen Kontext aus.<\/p> Aufseher behandeln Krypto nicht deshalb streng, weil es digital ist, sondern wegen dreier Eigenschaften. Erstens die Pseudonymit\u00e4t: Adressen sind keine Klarnamen, auch wenn die Kette \u00f6ffentlich einsehbar ist. Zweitens die Geschwindigkeit und Grenzenlosigkeit: Werte springen in Minuten \u00fcber Ketten und Jurisdiktionen hinweg, w\u00e4hrend eine klassische Auslands\u00fcberweisung Tage braucht und durch mehrere Banken l\u00e4uft. Drittens die Programmierbarkeit: Mixer, Bridges und dezentrale B\u00f6rsen lassen sich ohne menschlichen Mittelsmann aneinanderreihen. Diese Mischung macht das Layering, die zweite Phase der Geldw\u00e4sche, technisch bequem.<\/p> Genau deshalb konzentriert sich die Aufsicht auf die Ein- und Ausstiegspunkte, an denen Euro auf Coins trifft. Dort sitzt der Hebel, dort greift KYC am wirksamsten. Wichtig ist die Einordnung: Krypto ist nicht das gr\u00f6\u00dfte Geldw\u00e4sche-Vehikel der Welt, denn Bargeld und der klassische Bankensektor bewegen ungleich mehr, aber es ist das am schnellsten wachsende und politisch am st\u00e4rksten beleuchtete. Der Streit dreht sich deshalb weniger um das Ob der Kontrolle als um ihr Ausma\u00df.<\/p> Das deutsche Fundament ist das Geldw\u00e4schegesetz (GwG), das die EU-Vorgaben in nationales Recht umsetzt. Es benennt die sogenannten Verpflichteten: Banken, Versicherer, Notare, Immobilienmakler, H\u00e4ndler hochwertiger G\u00fcter und, entscheidend f\u00fcr dieses Thema, Krypto-Dienstleister. Wer als Verpflichteter gilt, muss ein ganzes Pflichtenpaket erf\u00fcllen, von der Kundenidentifizierung bis zur Verdachtsmeldung.<\/p> Die Aufsicht \u00fcber die Einhaltung dieser Pflichten liegt im Finanzsektor bei der BaFin<\/a>. Sie kann pr\u00fcfen, anordnen und Bu\u00dfgelder verh\u00e4ngen, die bei schwerwiegenden oder systematischen Verst\u00f6\u00dfen empfindlich ausfallen. Wichtig ist, dass die BaFin hier zwei H\u00fcte tr\u00e4gt: Nach dem Kryptom\u00e4rkteaufsichtsgesetz (KMAG) erteilt sie die MiCA-Lizenzen f\u00fcr Krypto-Dienstleister, nach dem GwG beaufsichtigt sie deren Geldw\u00e4sche-Compliance. Es sind zwei getrennte Regelkreise, auch wenn dieselbe Beh\u00f6rde beide bedient.<\/p> Die Verdachtsmeldungen selbst landen nicht bei der BaFin, sondern bei der Financial Intelligence Unit (FIU), die in Deutschland bei der Generalzolldirektion<\/a> angesiedelt ist. Die FIU sammelt, analysiert und leitet an die Strafverfolgung weiter. Seit dem 1. M\u00e4rz 2026 m\u00fcssen Meldungen verbindlich \u00fcber das FIU-Portal goAML im XML-Format eingereicht werden. Innerhalb eines Unternehmens muss zudem ein Geldw\u00e4schebeauftragter bestellt werden; interne Kontrollen, Schulungen, eine unabh\u00e4ngige Pr\u00fcfung und ein risikobasierter Ansatz sind Pflicht, ebenso die Feststellung des wirtschaftlich Berechtigten \u00fcber das Transparenzregister.<\/p> Ein h\u00e4ufiges Missverst\u00e4ndnis lohnt die Klarstellung: Geldw\u00e4scheaufsicht ist nicht dasselbe wie Marktaufsicht. In den USA verwechseln viele die B\u00f6rsenaufsicht SEC mit der Geldw\u00e4sche-Zust\u00e4ndigkeit; die liegt dort bei FinCEN und, f\u00fcr Sanktionen, beim OFAC. In Deutschland vereint die BaFin beides, aber unter verschiedenen Gesetzen, und die FIU ist eine eigene Stelle. Sanktionslisten wiederum stammen von EU und UN. Diese Zust\u00e4ndigkeiten auseinanderzuhalten, erspart viel Verwirrung.<\/p> Was passiert eigentlich, wenn man ein Konto er\u00f6ffnet? Der Ablauf hat vier Stufen. Zuerst die Identifizierung: Der Kunde legt ein amtliches Ausweisdokument vor und weist nach, dass er ein lebender Mensch ist, per Video-Ident, Foto-Ident, \u00fcber die eID-Funktion des Personalausweises oder zunehmend per Selfie mit Lebenderkennung (Liveness-Check).<\/p> Es folgt die Verifizierung, bei der das Dokument auf Echtheit gepr\u00fcft und dem Kunden zugeordnet wird. Dritte Stufe ist das Screening: Der Name l\u00e4uft gegen Sanktionslisten, gegen Datenbanken politisch exponierter Personen (PEP) und gegen negative Presseberichte (Adverse Media). Vierte Stufe ist die laufende \u00dcberwachung: Nach dem Onboarding werden Transaktionen gegen ein Risikoprofil abgeglichen, Auff\u00e4lligkeiten l\u00f6sen eine Pr\u00fcfung aus.<\/p> Die wenigsten B\u00f6rsen bauen diese Kette selbst. Sie kaufen sie von spezialisierten Anbietern wie IDnow, Sumsub, Jumio, Onfido oder Persona ein, die Dokumentenpr\u00fcfung, Biometrie und Sanktionsabgleich als Dienst liefern. Jeder Kunde erh\u00e4lt einen Risiko-Score, der bestimmt, wie viel Reibung er zu sp\u00fcren bekommt. Das ist die Maschinerie, die man als Nutzer direkt erlebt; der weitaus gr\u00f6\u00dfere Teil bleibt unsichtbar.<\/p> Doch KYC ist nur so gut wie die Pr\u00fcfung selbst, und die ger\u00e4t zunehmend unter Druck. KI-generierte Ausweisdokumente, synthetische Identit\u00e4ten und Deepfake-Videos fordern die Liveness-Erkennung heraus; was gestern als sicherer Nachweis galt, l\u00e4sst sich heute mit erschwinglicher Software f\u00e4lschen. Anbieter r\u00fcsten deshalb mit Injektionserkennung, Ger\u00e4teanalyse und wiederholten Pr\u00fcfungen nach. Die Identit\u00e4tspr\u00fcfung ist zu einem Wettr\u00fcsten geworden, bei dem die Verteidigung selten dauerhaft vorne liegt.<\/p> Nicht jeder Kunde wird gleich behandelt, und das ist Absicht. Der risikobasierte Ansatz staffelt die Pr\u00fcftiefe nach dem Geldw\u00e4scherisiko. Das GwG kennt drei Stufen.<\/p>Was KYC und AML wirklich bedeuten<\/h2>
Warum Krypto als erh\u00f6htes Risiko gilt<\/h2>
Wer in Deutschland reguliert: BaFin, FIU und das Geldw\u00e4schegesetz<\/h2>
Der Onboarding-Flow: von der Identifizierung zur Dauer\u00fcberwachung<\/h2>
Sorgfaltspflichten: CDD, EDD und der risikobasierte Ansatz<\/h2>