{"id":793,"date":"2026-10-17T04:28:05","date_gmt":"2026-10-17T04:28:05","guid":{"rendered":"https:\/\/hoge.gg\/de\/fall-okx-504-millionen-papier-kyc-aml-2026\/"},"modified":"2026-10-17T04:28:05","modified_gmt":"2026-10-17T04:28:05","slug":"fall-okx-504-millionen-papier-kyc-aml-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/fall-okx-504-millionen-papier-kyc-aml-2026\/","title":{"rendered":"Der Fall OKX: 504 Millionen Dollar und die Papier-KYC"},"content":{"rendered":"

Im Fr\u00fchjahr 2025 passierte OKX, einer der weltweit gr\u00f6\u00dften Krypto-B\u00f6rsen nach Handelsvolumen, innerhalb von zw\u00f6lf Wochen dreierlei. Am 27. Januar erteilte die maltesische Finanzaufsicht MFSA der Europa-Tochter eine der ersten vollwertigen MiCA-Lizenzen<\/a> \u00fcberhaupt, faktisch ein Pass f\u00fcr den Dienst in allen 30 Staaten des Europ\u00e4ischen Wirtschaftsraums. Am 24. Februar bekannte sich die Betreibergesellschaft Aux Cayes FinTech Co. Ltd. vor einem Bundesgericht in Manhattan schuldig, sieben Jahre lang gegen US-Geldw\u00e4schegesetze versto\u00dfen zu haben, und akzeptierte Strafen von mehr als 504 Millionen Dollar<\/a>. Am 3. April verh\u00e4ngte Maltas Geldw\u00e4sche-Meldestelle FIAU gegen genau dieselbe Europa-Tochter eine Geldbu\u00dfe von 1,1 Millionen Euro<\/a> wegen schwerwiegender und systematischer Verst\u00f6\u00dfe. Ein Unternehmen, drei Beh\u00f6rden, drei sehr unterschiedliche Urteile, alle im selben Quartal.<\/p>

F\u00fcr europ\u00e4ische Anlegerinnen und Anleger ist das keine ferne Episode. OKX wirbt im deutschsprachigen Raum, die App steht in den Stores, und die B\u00f6rse geh\u00f6rt zu den Plattformen, \u00fcber die auch hiesige Nutzer handeln. Der Markt, auf dem sie das tun, ist an diesem 17. Oktober 2026 nerv\u00f6s: Bitcoin notiert laut CoinGecko<\/a> bei rund 72.500 Euro, gut ein Prozent im Minus auf Tagessicht, w\u00e4hrend der Uptober-Optimismus vor der n\u00e4chsten Fed-Sitzung<\/a> ins Stocken ger\u00e4t. Wer bei OKX ein Konto er\u00f6ffnet, durchl\u00e4uft eine Identit\u00e4tspr\u00fcfung, l\u00e4dt einen Ausweis hoch, macht ein Selfie. Genau diese Pr\u00fcfung, KYC genannt, stand im Zentrum aller drei Verfahren.<\/p>

Der Fall OKX ist deshalb lehrreich, weil er ein verbreitetes Missverst\u00e4ndnis zerlegt. OKX hatte KYC. Es gab Onboarding-Formulare, Ausweispr\u00fcfungen, Richtlinien, ein Compliance-Team. Was fehlte, war etwas anderes: ein Geldw\u00e4sche-Programm, das diese Pr\u00fcfungen auch durchsetzt, Transaktionen laufend \u00fcberwacht und Verdachtsf\u00e4lle meldet. Papier-KYC nennen wir das hier, und es ist der Unterschied zwischen einem Regal voller Ordner und einer Kontrolle, die tats\u00e4chlich greift. Dieser Unterschied ist das Thema dieses Textes, erz\u00e4hlt entlang eines Falls, dessen Zahlen gro\u00df genug sind, um die ganze Mechanik sichtbar zu machen.<\/p>

Drei Beh\u00f6rden, drei Urteile, zw\u00f6lf Wochen<\/h2>

Die drei Daten geh\u00f6ren zusammen, weil sie drei verschiedene Regelkreise betreffen, die in der \u00f6ffentlichen Debatte st\u00e4ndig durcheinandergeraten. Die MiCA-Lizenz der MFSA ist eine Markt- und Wohlverhaltensaufsicht: Sie pr\u00fcft, ob ein Krypto-Dienstleister genug Eigenkapital hat, Kundengelder trennt, \u00fcber Risiken aufkl\u00e4rt und eine saubere Governance vorweist. Das US-Schuldbekenntnis betrifft einen v\u00f6llig anderen Bereich, die Geldw\u00e4schebek\u00e4mpfung, in den USA zust\u00e4ndig bei FinCEN und bei der Sanktionsbeh\u00f6rde OFAC, nicht bei der B\u00f6rsenaufsicht SEC. Und die FIAU-Bu\u00dfe aus Malta ist die europ\u00e4ische Variante genau dieser Geldw\u00e4scheaufsicht, angewandt auf dieselbe Firma, die wenige Wochen zuvor ihre MiCA-Lizenz erhalten hatte.<\/p>

Dass eine B\u00f6rse im selben Quartal eine EU-Lizenz bekommt und sich auf zwei Kontinenten f\u00fcr Geldw\u00e4sche-M\u00e4ngel verantworten muss, ist kein Widerspruch, sondern die Pointe. Eine Lizenz f\u00fcr den Dienst ist keine Bescheinigung f\u00fcr ein sauberes Geldw\u00e4sche-Programm. Die beiden Dinge werden von unterschiedlichen Regeln, oft von unterschiedlichen Beh\u00f6rden und nach unterschiedlichen Pr\u00fcfungen vergeben. Wer das zusammenwirft, liest aus einem gr\u00fcnen H\u00e4kchen bei der Lizenz eine Sicherheit heraus, die dort nie behauptet wurde. F\u00fcr Nutzer, f\u00fcr Aufseher und f\u00fcr die B\u00f6rsen selbst ist das die teuerste Verwechslung der Branche.<\/p>

Was OKX wirklich fehlte: Compliance nur auf dem Papier<\/h2>

Die Vorw\u00fcrfe der US-Staatsanwaltschaft lesen sich n\u00fcchtern und sind doch drastisch. Aux Cayes FinTech, von den Seychellen aus betrieben, f\u00fchrte die Plattform seit mindestens 2017, bediente dabei aber durchgehend auch US-Kunden, ohne sich wie vorgeschrieben als Geldtransfer-Dienstleister bei FinCEN zu registrieren und ein Geldw\u00e4sche-Programm zu unterhalten. \u00dcber die Plattform liefen nach Darstellung der Ankl\u00e4ger mehr als f\u00fcnf Milliarden Dollar<\/a> an verd\u00e4chtigen Transaktionen und kriminellen Erl\u00f6sen. Der entscheidende technische Befund: OKX setzte bis etwa Mai 2023 keine kommerzielle Software zur Transaktions\u00fcberwachung ein und hatte zuvor keine Kontrollen, um zu erkennen, ob Transaktionen mit sanktionierten Regionen zusammenhingen.<\/p>

Noch anschaulicher ist der menschliche Teil. Ein Mitarbeiter wies US-Kunden aktiv an, die L\u00e4nderbeschr\u00e4nkungen zu umgehen, indem sie schlicht \u00fcber ihren Wohnsitz logen; in einem dokumentierten Fall riet er, als Sitz die Vereinigten Arabischen Emirate anzugeben und Zufallszahlen als Ausweisnummer zu verwenden. Genau das ist Papier-KYC: Die Pflichtfelder existieren, das Formular wird ausgef\u00fcllt, nur eben mit erfundenen Daten, zu denen das Haus selbst anleitet. Matthew Podolsky, damals kommissarischer Bundesstaatsanwalt f\u00fcr den S\u00fcdbezirk von New York, fasste es so zusammen: „For over seven years, OKX knowingly violated anti-money laundering laws and avoided implementing required policies to prevent criminals from abusing our financial system.“<\/p>

Das Schuldbekenntnis vom 24. Februar 2025 fiel vor Richterin Katherine Polk Failla und umfasste einen einzigen Anklagepunkt, den Betrieb eines nicht lizenzierten Geldtransfergesch\u00e4fts. Die 504 Millionen setzen sich aus rund 420,3 Millionen Dollar Einziehung und etwa 84,4 Millionen Dollar Strafe zusammen, umgerechnet zusammen gut 450 Millionen Euro. Bemerkenswert ist, was nicht Teil der Einigung war: OKX musste keinen staatlich bestellten Monitor akzeptieren, sondern durfte einen selbst engagierten externen Compliance-Berater<\/a> bis Februar 2027 behalten, und es wurde kein einzelner Mitarbeiter angeklagt. Das Unternehmen sprach von „legacy compliance gaps“, betonte, die betroffenen US-Kunden seien ein kleiner Teil der Gesamtkundschaft und heute nicht mehr auf der Plattform, und relancierte sein US-Gesch\u00e4ft im April 2025 mit neuem US-Chef und Sitz in San Jose<\/a>. Die Firma lebt also weiter, besser aufgestellt als zuvor. Die Lektion aber bleibt.<\/p>

KYC ist nicht gleich AML<\/h2>

Die beiden K\u00fcrzel werden meist in einem Atemzug genannt, meinen aber nicht dasselbe. KYC steht f\u00fcr Know Your Customer und bezeichnet den Moment, in dem eine Plattform herausfindet, wer ihr gegen\u00fcbersitzt: Name, Geburtsdatum, Adresse, ein amtlicher Ausweis, ein Abgleich, dass das Dokument echt ist und zur Person geh\u00f6rt. AML, Anti-Money-Laundering, ist der Oberbegriff f\u00fcr das gesamte Programm, das verhindern soll, dass eine Plattform zur Waschmaschine f\u00fcr kriminelles Geld wird. KYC ist ein Baustein dieses Programms, der erste, aber eben nur einer von mehreren.<\/p>

Ein vollst\u00e4ndiges Geldw\u00e4sche-Programm ruht auf mehreren S\u00e4ulen, die in der angels\u00e4chsischen Aufsichtspraxis gern als die f\u00fcnf Pfeiler beschrieben werden: ein benannter, verantwortlicher Geldw\u00e4schebeauftragter; verbindliche interne Richtlinien und Kontrollen; laufende Schulung der Mitarbeiter; eine unabh\u00e4ngige Pr\u00fcfung, die das Programm selbst auf Wirksamkeit testet; und die Sorgfaltspflichten gegen\u00fcber dem Kunden, also KYC plus laufende \u00dcberwachung. F\u00e4llt eine S\u00e4ule weg, tr\u00e4gt das Dach nicht mehr. Bei OKX fehlte vor allem die laufende \u00dcberwachung, und damit kippte das ganze Konstrukt, egal wie ordentlich die Onboarding-Formulare aussahen.<\/p>

Dahinter steht ein simples Modell davon, wie Geldw\u00e4sche funktioniert. Klassisch beschreibt man drei Phasen: die Platzierung, in der schmutziges Geld ins System gelangt; die Verschleierung, in der es durch viele Transaktionen, Konten und Ketten seine Spur verliert; und die Integration, in der es als scheinbar sauberes Verm\u00f6gen wieder auftaucht. Krypto ist f\u00fcr die mittlere Phase attraktiv, weil sich Werte schnell, grenz\u00fcberschreitend und in vielen Schritten bewegen lassen. Genau deshalb reicht eine einmalige Identit\u00e4tspr\u00fcfung beim Onboarding nicht. Eine B\u00f6rse muss auch danach hinschauen, ob das Verhalten eines Kontos zum deklarierten Zweck passt, und auff\u00e4llige Muster melden. Diese verst\u00e4rkten Sorgfaltspflichten, auf Englisch Enhanced Due Diligence, greifen bei h\u00f6herem Risiko: gro\u00dfe Summen, undurchsichtige Herkunft, Verbindungen zu Hochrisikol\u00e4ndern oder politisch exponierten Personen.<\/p>

Wer in Deutschland die Geldw\u00e4scheaufsicht f\u00fchrt<\/h2>

Die erste Korrektur, die der Fall OKX einem deutschen Publikum abverlangt, betrifft die Zust\u00e4ndigkeit. In den USA ist Geldw\u00e4sche nicht Sache der Wertpapieraufsicht SEC, sondern des Financial Crimes Enforcement Network (FinCEN), das die Programm- und Meldepflichten setzt, und des Office of Foreign Assets Control (OFAC), das die Sanktionslisten f\u00fchrt. OKX bekannte sich deshalb nicht wegen eines Wertpapierdelikts schuldig, sondern wegen des Betriebs eines nicht registrierten Geldtransfergesch\u00e4fts, eines klassischen Bank-Secrecy-Act-Vergehens. Das ist ein anderes Rechtsgebiet als die Frage, ob ein Token ein Wertpapier ist.<\/p>

In Deutschland ist die Architektur \u00e4hnlich zweigeteilt. Das Geldw\u00e4schegesetz (GwG) definiert die Pflichten, und die BaFin tr\u00e4gt dabei zwei H\u00fcte zugleich: Sie lizenziert Krypto-Dienstleister unter MiCAR und dem nationalen Begleitgesetz, und sie beaufsichtigt denselben Kreis als Geldw\u00e4scheaufsicht des Finanzsektors. Ihr aktuelles Papier zu Kryptowerte-Dienstleistungen<\/a> h\u00e4lt die Trennung ausdr\u00fccklich fest: MiCA regelt die Dienstleister und Emittenten, nicht das Protokoll, und die Geldw\u00e4schepflichten laufen parallel dazu. Die Verdachtsmeldungen selbst gehen aber nicht an die BaFin, sondern an die Financial Intelligence Unit (FIU), die in Deutschland bei der Generalzolldirektion angesiedelt ist, also beim Zoll und nicht bei der Finanzaufsicht.<\/p>

Konkret hei\u00dft das: Eine B\u00f6rse, die in Deutschland t\u00e4tig ist, muss nach Paragraf 43 GwG jeden Geldw\u00e4sche-Verdacht unverz\u00fcglich an die FIU melden, und zwar seit dem 1. M\u00e4rz 2026 verpflichtend \u00fcber das elektronische Format goAML. Sie darf den Kunden nach Paragraf 47 nicht \u00fcber die Meldung informieren, das sogenannte Tipping-off-Verbot. Und sie muss je nach Risiko die allgemeinen, verst\u00e4rkten oder vereinfachten Sorgfaltspflichten der Paragrafen 10, 14 und 15 anwenden. H\u00e4tte OKX in diesem System operiert, w\u00e4ren die beiden Kernm\u00e4ngel, kein Transaktionsmonitoring und Mitarbeiter, die zum L\u00fcgen anleiten, nicht etwa Randnotizen, sondern genau die Punkte, an denen eine BaFin-Sonderpr\u00fcfung ansetzt.<\/p>

Die MiCA-Lizenz ist kein Geldw\u00e4sche-G\u00fctesiegel<\/h2>

Hier liegt die eigentliche Lehre des Falls. Die EU-Verordnung MiCA<\/a> schafft ein einheitliches Zulassungs- und Wohlverhaltensregime f\u00fcr Krypto-Dienstleister. Sie verlangt Eigenkapital, Trennung der Kundengelder, faire Information, Beschwerdeverfahren, solide Governance. Was MiCA ausdr\u00fccklich nicht leistet, ist die Geldw\u00e4scheaufsicht. Die steckt in einem eigenen Regelwerk, der EU-Geldw\u00e4scheverordnung AMLR<\/a> und national im GwG, mit eigenen Pr\u00fcfungen, eigenen Beh\u00f6rden und eigenen Sanktionen. Eine MiCA-Lizenz sagt also aus, dass ein Dienst ordentlich gef\u00fchrt wird, nicht, dass sein Geldw\u00e4sche-Programm h\u00e4lt.<\/p>

Der Fall OKX macht diese Trennung mit fast schon lehrbuchhafter Sch\u00e4rfe sichtbar. Schon 2023 hatte eine Pr\u00fcfung der maltesischen FIAU bei der Europa-Tochter Okcoin Europe, so der damalige Firmenname, gravierende L\u00fccken gefunden. Im Januar 2025 erhielt dieselbe Tochter trotzdem ihre MiCA-Lizenz. Und im April 2025 verh\u00e4ngte die FIAU dann die Bu\u00dfe von 1,1 Millionen Euro f\u00fcr die 2023 festgestellten Verst\u00f6\u00dfe. Die beiden Spuren, Lizenz und Geldw\u00e4scheaufsicht, liefen nebeneinander her, als betr\u00e4fen sie zwei verschiedene Unternehmen.<\/p>

Die FIAU nannte die M\u00e4ngel schwerwiegend und systematisch<\/a>. Die unternehmensweite Risikobewertung habe die Geldw\u00e4scherisiken nicht angemessen erfasst, insbesondere nicht die Gefahren aus Krypto-Mixern, Privacy Coins, Stablecoins und dezentralen B\u00f6rsen. Nahezu die H\u00e4lfte der gepr\u00fcften Kundenkonten sei ohne saubere Risikoeinstufung gewesen, und rund 80 Prozent der untersuchten Transaktionen, zusammen mehr als 20 Millionen Dollar, seien nicht ausreichend gepr\u00fcft worden. Auch die Herkunft von Geldern au\u00dferhalb der EU habe die B\u00f6rse nicht hinreichend betrachtet. Dieselbe Firma also, die Malta als MiCA-Mustereurop\u00e4er vorzeigt, war zeitgleich ein dokumentierter Geldw\u00e4sche-Fall, auf beiden Seiten des Atlantiks.<\/p>

Das Unternehmen rahmt seine europ\u00e4ische Gegenwart heute als Vorzeigefall. OKX-Europa-Chef Erald Ghoos erkl\u00e4rte zur maltesischen Zahlungsinstituts-Lizenz<\/a> vom Februar 2026, diese stelle sicher, dass die Produkte auf einer vollst\u00e4ndig regelkonformen Grundlage liefen, und Stablecoins k\u00f6nnten Zahlungen effizienter machen, aber nur, wenn sie innerhalb starker regulatorischer Leitplanken gebaut w\u00fcrden. Das ist die richtige Sprache. Nur zeigt der Fall OKX, dass die Lizenz, die diese Sprache beglaubigt, und die Geldw\u00e4scheaufsicht, die sie einhalten soll, eben nicht dasselbe gr\u00fcne H\u00e4kchen sind.<\/p>

Was eine funktionierende KYC-Kette leisten muss<\/h2>

Um zu verstehen, was fehlte, lohnt der Blick auf eine intakte Kette. Sie beginnt mit der Identifizierung: Der Kunde l\u00e4dt ein amtliches Dokument hoch, ein Verfahren pr\u00fcft dessen Echtheit, eine Lebendpr\u00fcfung per Selfie oder Video stellt sicher, dass die Person real und anwesend ist. In Deutschland erledigen das spezialisierte Anbieter wie IDnow oder WebID, international Dienstleister wie Sumsub oder Onfido. Danach l\u00e4uft ein Abgleich gegen Sanktions- und PEP-Listen, also gegen die Namen, mit denen kein Gesch\u00e4ft gemacht werden darf. Erst dann ist das Konto offen.<\/p>

Der entscheidende Teil kommt aber erst danach. Eine Monitoring-Software beobachtet laufend, ob Transaktionen zum Profil passen, ob Gelder aus Mixern stammen, ob Muster auf Layering hindeuten. Schl\u00e4gt sie an, pr\u00fcft ein Analyst, und im Zweifel geht eine Verdachtsmeldung an die FIU. Genau dieser hintere Teil der Kette, \u00dcberwachung und Meldung, war bei OKX bis 2023 schlicht nicht vorhanden. Die folgende Tabelle misst die f\u00fcnf Pfeiler eines Geldw\u00e4sche-Programms an den im US- und im Malta-Verfahren dokumentierten Befunden.<\/p>

S\u00e4ule des AML-Programms<\/th>Was sie verlangt<\/th>Befund im Fall OKX<\/th><\/tr><\/thead>
Identifizierung (KYC)<\/td>Echter Ausweis plus Lebendpr\u00fcfung, verl\u00e4ssliche Daten<\/td>Formulare existierten, ein Mitarbeiter half aber, die Angaben zu f\u00e4lschen<\/td><\/tr>
Sanktions- und PEP-Abgleich<\/td>Abgleich gegen OFAC- und EU-Listen vor jeder Nutzung<\/td>keine Kontrollen f\u00fcr sanktionierte Regionen bis etwa 2023<\/td><\/tr>
Laufende Transaktions\u00fcberwachung<\/td>Software erkennt auff\u00e4llige Muster fortlaufend<\/td>keine kommerzielle Monitoring-Software bis circa Mai 2023<\/td><\/tr>
Verdachtsmeldung<\/td>unverz\u00fcgliche Meldung an die FIU oder FinCEN<\/td>mehr als 5 Milliarden Dollar verd\u00e4chtig, Meldungen unzureichend<\/td><\/tr>
Governance und Pr\u00fcfung<\/td>Geldw\u00e4schebeauftragter, interne Kontrollen, unabh\u00e4ngiger Test<\/td>Risikobewertung mangelhaft, rund die H\u00e4lfte der Konten ohne Risikoeinstufung<\/td><\/tr><\/tbody><\/table><\/figure>

Die Meldekette, goAML und die Papierflut<\/h2>

Die Verdachtsmeldung ist das Herzst\u00fcck des Systems, und ausgerechnet hier zeigt sich eine deutsche Besonderheit, die den Fall OKX in ein unbequemes Licht r\u00fcckt. Die FIU meldet in ihrem Jahresbericht 2025 einen neuen Rekord: Rund 374.693 Verdachtsmeldungen<\/a> gingen ein, ein Plus von 41 Prozent gegen\u00fcber dem Vorjahr, der L\u00f6wenanteil von Kreditinstituten. Aus all diesen Meldungen m\u00fcndeten nach den Zahlen der Beh\u00f6rde nur 1.669 in ein Urteil, einen Strafbefehl oder eine Anklage; der weit \u00fcberwiegende Teil wurde eingestellt. Das System produziert also eine Papierflut, in der die wenigen echten Treffer leicht untergehen.<\/p>

Seit dem 1. M\u00e4rz 2026 m\u00fcssen diese Meldungen verpflichtend \u00fcber das strukturierte Format goAML eingereicht werden, was die Auswertung erleichtern soll. Doch das eigentliche Problem, das der Fall OKX beleuchtet, liegt vor der Meldung: Eine B\u00f6rse ohne Transaktions\u00fcberwachung erkennt gar nicht erst, was sie melden m\u00fcsste. Die gef\u00e4hrlichste Meldung ist nicht die, die in der Masse untergeht, sondern die, die nie geschrieben wird, weil niemand hinschaut. Papier-KYC erzeugt genau diese Leerstelle: viele brave Onboarding-Akten, aber keine einzige Verdachtsmeldung zu den Milliarden, die durchliefen.<\/p>

Meldepflichten sind dabei l\u00e4ngst nicht mehr auf die Geldw\u00e4scheaufsicht beschr\u00e4nkt. Parallel verpflichtet die EU-Richtlinie DAC8 Krypto-Plattformen, Konten und Transaktionen ihrer Nutzer an die Steuerbeh\u00f6rden zu melden, ein Transparenz-Regime, das das Finanzamt mitlesen l\u00e4sst<\/a>. F\u00fcr die B\u00f6rsen verschmelzen beide Welten in denselben Datens\u00e4tzen: Wer Kunden sauber identifiziert und ihre Bewegungen nachvollziehbar protokolliert, erf\u00fcllt am Ende Geldw\u00e4sche- und Steuerpflichten aus einem Guss. Wer es wie OKX vers\u00e4umt, scheitert an beiden Fronten gleichzeitig.<\/p>

Die Offshore-Enforcement-Welle<\/h2>

OKX ist kein Einzelfall, sondern das vorl\u00e4ufig letzte Glied einer Kette fast identischer F\u00e4lle. Das Muster wiederholt sich: eine von einem Offshore-Standort aus betriebene B\u00f6rse, meist von den Seychellen, bedient US-Kunden, ohne sich zu registrieren, und spart sich dabei ein funktionierendes Geldw\u00e4sche-Programm. Der Prototyp war BitMEX, dessen Betreiber HDR Global jahrelang mit kaum mehr als einer E-Mail-Adresse Konten er\u00f6ffnen lie\u00df und 2021 100 Millionen Dollar<\/a> an CFTC und FinCEN zahlte, ehe 2025 die Unternehmensstrafe folgte.<\/p>

Den H\u00f6hepunkt setzte Binance. Im November 2023 akzeptierte die gr\u00f6\u00dfte B\u00f6rse der Welt eine Gesamtl\u00f6sung von 4,3 Milliarden Dollar<\/a>, davon 3,4 Milliarden an FinCEN und 968 Millionen an OFAC. Die Staatsanwaltschaft hielt fest, dass Binance mehr als 100.000 verd\u00e4chtige Transaktionen abwickelte, ohne auch nur eine einzige Verdachtsmeldung einzureichen. Der damalige US-Justizminister Merrick Garland formulierte den Grundsatz, der \u00fcber der ganzen Welle steht: „Using new technology to break the law does not make you a disruptor. It makes you a criminal.“ Es folgten KuCoin mit mehr als 297 Millionen Dollar<\/a> im Januar 2025 und schlie\u00dflich OKX im Februar 2025.<\/p>

B\u00f6rse (Betreibergesellschaft)<\/th>Jahr<\/th>Strafe<\/th>Kernversagen<\/th><\/tr><\/thead>
BitMEX (HDR Global, Seychelles)<\/td>2021 und 2025<\/td>100 Mio. $<\/td>Onboarding praktisch nur per E-Mail, kein echtes KYC<\/td><\/tr>
Binance<\/td>2023<\/td>4,3 Mrd. $<\/td>mehr als 100.000 verd\u00e4chtige Transaktionen, nie eine Verdachtsmeldung<\/td><\/tr>
KuCoin (Peken Global, Seychelles)<\/td>2025<\/td>297 Mio. $<\/td>kein wirksames KYC, US-Kunden verschleiert<\/td><\/tr>
OKX (Aux Cayes, Seychelles)<\/td>2025<\/td>504 Mio. $<\/td>kein Transaktionsmonitoring bis 2023, Mitarbeiter half beim Umgehen<\/td><\/tr><\/tbody><\/table><\/figure>

Vier F\u00e4lle, eine Diagnose. In jedem fehlte nicht die Idee von KYC, sondern dessen Durchsetzung. Und in jedem zeigte sich, dass eine Offshore-Registrierung den Betrieb nicht vor der Reichweite der US-Beh\u00f6rden sch\u00fctzt, sobald amerikanische Kunden bedient werden. F\u00fcr europ\u00e4ische Plattformen gilt dieselbe Logik spiegelbildlich: Wer EU-Kunden bedient, unterliegt der EU-Geldw\u00e4scheaufsicht, egal wo der Server steht.<\/p>

Washington begnadigt, Br\u00fcssel versch\u00e4rft<\/h2>

So eindeutig die Enforcement-Welle war, so bemerkenswert ist die politische Kehrtwende, die ihr in den USA folgte. Im M\u00e4rz 2025 begnadigte Pr\u00e4sident Trump die drei BitMEX-Gr\u00fcnder<\/a>, im Oktober 2025 den fr\u00fcheren Binance-Chef Changpeng Zhao<\/a>, der seine viermonatige Haftstrafe da l\u00e4ngst verb\u00fc\u00dft hatte. Zugleich bauten die US-Aufseher Druck ab, von der R\u00fccknahme des sogenannten Debanking bis zum weicheren Kurs der SEC. Dieselben F\u00e4lle, die unter einer Regierung Milliardenstrafen und Haft brachten, wurden unter der n\u00e4chsten zu Gnadenakten. Wie sich dieser Kontrast zwischen begnadigendem Washington und versch\u00e4rfendem Br\u00fcssel<\/a> auff\u00e4chert, ist eine eigene Geschichte.<\/p>

OKX steht dabei auff\u00e4llig auf der anderen Seite der Linie. Das Unternehmen wurde nicht begnadigt; es zahlte, behielt seinen externen Berater und baute sein Gesch\u00e4ft neu auf. Ein Schuldbekenntnis einer Gesellschaft l\u00e4sst sich auch schwerer begnadigen als die Strafe einer Einzelperson. Und selbst wenn: Eine Begnadigung vergibt der Person, sie hebt kein Gesetz auf. Die Pflicht, ein Geldw\u00e4sche-Programm zu f\u00fchren, Transaktionen zu \u00fcberwachen und Verdacht zu melden, steht nach wie vor im Gesetzbuch, in Washington wie in Berlin. Was sich \u00e4ndert, ist der politische Wille, sie durchzusetzen, nicht die Pflicht selbst.<\/p>

Genau an dieser Stelle laufen Amerika und Europa auseinander. W\u00e4hrend die USA den Vollzug lockern, zieht die EU ihr Regelwerk gerade erst scharf. F\u00fcr eine B\u00f6rse wie OKX, die mit ihrer maltesischen Lizenz den gesamten Binnenmarkt bedient, ist der europ\u00e4ische Teil deshalb der h\u00e4rtere Pr\u00fcfstein der kommenden Jahre.<\/p>

Das EU-Regelwerk zieht an: TFR, AMLR, AMLA<\/h2>

Drei Bausteine greifen in Europa ineinander. Seit dem 30. Dezember 2024 gilt die Geldtransfer-Verordnung TFR<\/a>, die die sogenannte Travel Rule f\u00fcr Krypto umsetzt, und zwar ohne Bagatellgrenze: Bei jeder \u00dcberweisung zwischen Dienstleistern m\u00fcssen Angaben zu Auftraggeber und Empf\u00e4nger mitreisen. Transfers von und zu selbst verwahrten Wallets l\u00f6sen ab 1.000 Euro zus\u00e4tzliche Pr\u00fcfungen aus. Ab dem 10. Juli 2027 kommt die Geldw\u00e4scheverordnung AMLR<\/a> voll zur Anwendung, die anonyme Krypto-Konten verbietet, den Dienstleistern den Umgang mit Anonymisierungs-Coins wie Monero oder Zcash untersagt und eine Bargeldobergrenze von 10.000 Euro setzt.<\/p>

Den institutionellen \u00dcberbau liefert die neue EU-Geldw\u00e4schebeh\u00f6rde AMLA mit Sitz in Frankfurt. Ab 2028 \u00fcbernimmt sie die direkte Aufsicht \u00fcber bis zu 40 besonders risikoreiche Institute<\/a>, und Krypto-Dienstleister nennt sie ausdr\u00fccklich als Priorit\u00e4t; die Auswahlmethodik entsteht 2026, die erste Auswahl 2027. AMLA-Chefin Bruna Szego, zuvor Geldw\u00e4sche-Chefin der italienischen Notenbank, warnte vor dem Europ\u00e4ischen Parlament, die Migration unter MiCA k\u00f6nne Kunden zum \u00fcberst\u00fcrzten Abzug ihrer Mittel bewegen und die abzuwickelnden Altanbieter zus\u00e4tzlich unter Druck setzen, eine Phase also, in der die Aufsicht besonders wachsam sein m\u00fcsse. Die folgende Tabelle ordnet die Fristen.<\/p>

Datum<\/th>Ma\u00dfnahme<\/th>Was sich \u00e4ndert<\/th><\/tr><\/thead>
30. Dez. 2024<\/td>TFR (VO 2023\/1113)<\/td>Travel Rule ohne Bagatellgrenze; Transfers zu Self-Hosted-Wallets ab 1.000 Euro mit Zusatzpr\u00fcfung<\/td><\/tr>
1. Juli 2026<\/td>Ende der MiCA-\u00dcbergangsfrist (Deutschland u. a.)<\/td>nur noch lizenzierte CASPs d\u00fcrfen Dienste anbieten<\/td><\/tr>
10. Juli 2027<\/td>AMLR (VO 2024\/1624) volle Anwendung<\/td>Verbot anonymer Konten und Privacy Coins, Bargeldgrenze 10.000 Euro<\/td><\/tr>
ab 2028<\/td>AMLA (Frankfurt) direkte Aufsicht<\/td>bis zu 40 h\u00f6chstriskante Institute, Krypto als erkl\u00e4rte Priorit\u00e4t<\/td><\/tr><\/tbody><\/table><\/figure>

Bringt die ganze \u00dcberwachung \u00fcberhaupt etwas?<\/h2>

Wer 504 Millionen Dollar Strafe liest, sollte die unbequeme Gegenfrage mitdenken: Funktioniert das Ganze eigentlich? Die Bilanz ist zwiesp\u00e4ltig. F\u00fcr die \u00dcberwachung spricht, dass Blockchains \u00f6ffentlich sind und Ermittler Spuren \u00fcber Jahre zur\u00fcckverfolgen k\u00f6nnen; die gro\u00dfen Enforcement-Erfolge, OKX eingeschlossen, beruhen genau darauf. Dagegen sprechen die Zahlen zur Wirkung. Der Chainalysis-Krypto-Kriminalit\u00e4tsbericht 2026 beziffert die illegalen Krypto-Zufl\u00fcsse f\u00fcr 2025 auf mindestens 154 Milliarden Dollar<\/a>, ein Plus von 162 Prozent, getrieben vor allem von einem Anstieg bei sanktionierten Akteuren um 694 Prozent. Der Anteil illegaler Transaktionen am gesamten Krypto-Volumen bleibt dabei unter einem Prozent.<\/p>

Die Denkfabrik Coin Center rechnet in ihrer Streitschrift gegen das System vor, dass allein die US-Geldw\u00e4sche-Compliance mehr als 26 Milliarden Dollar pro Jahr<\/a> kostet, w\u00e4hrend nach UN-Sch\u00e4tzung nur rund 0,2 Prozent krimineller Gelder je beschlagnahmt oder eingefroren werden. Der Jurist Peter Van Valkenburgh fasst den akademischen Befund so, dass das aufwendige Regime erstaunlich wenig gegen Kriminalit\u00e4t ausrichte. Die 374.693 deutschen Verdachtsmeldungen mit ihren 1.669 justiziellen Treffern passen in dieses Bild: viel Aufwand, d\u00fcnne Ausbeute.<\/p>

Dazu kommt ein Nebeneffekt, der selten mitgedacht wird. Jede KYC-Pr\u00fcfung zwingt Nutzer, eine vollst\u00e4ndige Ausweiskopie bei jeder B\u00f6rse zu hinterlegen. Diese Datenberge sind selbst ein Angriffsziel; der Einbruch bei Coinbase, bei dem 2025 die Daten von 69.461 Kunden<\/a> abflossen, zeigt die Kehrseite der Sammelwut. Genau hier setzen Reformideen an, die Identit\u00e4t nur einmal pr\u00fcfen und danach als Nachweis wiederverwenden wollen, nach dem Prinzip einmal pr\u00fcfen, \u00fcberall beweisen<\/a>. F\u00fcr den Fall OKX ist das aber nur die halbe Antwort, denn dort lag das Problem nicht in zu viel, sondern in viel zu wenig Kontrolle.<\/p>

Stablecoins, MiCA und die Verlagerung des Risikos<\/h2>

Ein Detail aus der Malta-Bu\u00dfe verdient besondere Aufmerksamkeit. Die FIAU r\u00fcgte 2025, dass OKX die Risiken aus Mixern, Privacy Coins, Stablecoins und dezentralen B\u00f6rsen nicht angemessen erfasst habe. Genau dorthin hat sich das illegale Volumen seither verlagert. Nach Chainalysis entfallen inzwischen rund 84 Prozent aller illegalen Transaktionen auf Stablecoins, weil sie sich grenz\u00fcberschreitend schnell bewegen und kaum schwanken. Die FATF empfahl in einem eigenen Bericht im M\u00e4rz 2026, Emittenten sollten technische Sperr-, Einfrier- und Sperrlisten-Funktionen in ihre Smart Contracts einbauen, um den Sekund\u00e4rmarkt \u00fcberwachbar zu machen.<\/p>

In Europa greift dieser Hebel \u00fcber MiCA. Weil Tether f\u00fcr USDT keine EMT-Zulassung beantragt hat, ist der Coin faktisch aus dem regulierten EU-Handel verschwunden<\/a>, w\u00e4hrend Circles USDC die Zulassung besitzt. Die Wertpapieraufsicht ESMA setzte den Plattformen am 8. Oktober 2026 eine Frist von drei Monaten<\/a>, Dienste rund um nicht zugelassene Stablecoins bis zum 8. Januar 2027 abzuwickeln. F\u00fcr eine B\u00f6rse wie OKX bedeutet das: Der Teil des Gesch\u00e4fts, an dem sie in Malta gemessen und f\u00fcr zu nachl\u00e4ssig befunden wurde, ist genau der Teil, den die EU jetzt am engsten f\u00fchrt.<\/p>

Die Grenze dieses Ansatzes zeigt sich bei Coins, die sich gerade nicht einfrieren lassen. Freeze-resistente Stablecoins, von denen einige bewusst damit werben, keiner Beh\u00f6rde den Zugriff zu gew\u00e4hren, hebeln die Einfrier-Logik aus. Das Risiko wandert dann weiter, von den regulierten Plattformen zu Konstruktionen, die sich dem Griff entziehen. Die Aufsicht jagt einem beweglichen Ziel hinterher, und der Fall OKX markiert nur die Stelle, an der sie vor einigen Jahren stand.<\/p>

Was der Fall OKX f\u00fcr Nutzer und Plattformen bedeutet<\/h2>

F\u00fcr Nutzerinnen und Nutzer l\u00e4sst sich der Fall in drei S\u00e4tze \u00fcbersetzen. Erstens: Eine MiCA-Lizenz ist ein gutes Zeichen, aber kein Freibrief; sie sagt nichts dar\u00fcber, wie ernst eine B\u00f6rse ihre Geldw\u00e4schepflichten nimmt. Ein Blick in das \u00f6ffentliche Register der BaFin oder in europaweite CASP-Verzeichnisse zeigt immerhin, ob \u00fcberhaupt eine Zulassung vorliegt. Zweitens: Wer nach der Herkunft gro\u00dfer Betr\u00e4ge gefragt wird, erlebt keine Schikane, sondern verst\u00e4rkte Sorgfalt, wie sie das Gesetz verlangt. Drittens, und das ist die eigentliche Umkehr der Perspektive: Eine Plattform, die beim Onboarding gar nichts wissen will, ist kein bequemer Service, sondern eine Warnung.<\/p>

F\u00fcr die Plattformen ist die Lehre noch deutlicher. Ein Geldw\u00e4sche-Programm ist kein Aktenordner, sondern ein laufender Betrieb aus Technik, Personal und Kultur. Es n\u00fctzt nichts, Formulare vorzuhalten, wenn niemand die Transaktionen dahinter \u00fcberwacht, und es schadet sogar, wenn Mitarbeiter lernen, die eigenen Kontrollen zu umgehen. Die BaFin hat f\u00fcr 2026 in ihrem Papier Risiken im Fokus<\/a> mindestens 75 Sonderpr\u00fcfungen angek\u00fcndigt und die Umsetzung der Travel Rule durch Krypto-Dienstleister zu einem Schwerpunkt erkl\u00e4rt. Wer dann nur Papier-KYC vorweisen kann, erlebt im Kleinen, was OKX im Gro\u00dfen widerfuhr.<\/p>

Den internationalen Takt gibt die FATF vor, deren Vollversammlung vom 26. bis 30. Oktober 2026 in Paris<\/a> tagt, erstmals unter britischer Pr\u00e4sidentschaft. Ihr Dauerthema ist dieselbe L\u00fccke, die der Fall OKX freilegt: Regeln stehen fast \u00fcberall im Gesetzbuch, doch ihre Durchsetzung bleibt l\u00f6chrig. Der 504-Millionen-Fall ist am Ende kein Skandal \u00fcber fehlende Vorschriften, sondern \u00fcber den Abstand zwischen Vorschrift und Vollzug. KYC auf dem Papier ist leicht. KYC, das tats\u00e4chlich greift, ist die eigentliche Arbeit, und sie kostet mehr als einen Ordner im Regal.<\/p>

H\u00e4ufige Fragen<\/h2>

Warum musste OKX 504 Millionen Dollar zahlen?<\/h3>

Die Betreibergesellschaft Aux Cayes FinTech bekannte sich im Februar 2025 schuldig, \u00fcber sieben Jahre ein nicht lizenziertes Geldtransfergesch\u00e4ft betrieben und dabei US-Geldw\u00e4schepflichten missachtet zu haben. \u00dcber die Plattform liefen mehr als f\u00fcnf Milliarden Dollar an verd\u00e4chtigen Transaktionen; eine kommerzielle Transaktions\u00fcberwachung gab es erst ab etwa Mai 2023. Die Strafe setzt sich aus rund 420 Millionen Dollar Einziehung und etwa 84 Millionen Dollar Geldbu\u00dfe zusammen.<\/p>

Ist OKX in der EU reguliert?<\/h3>

Ja. OKX Europe h\u00e4lt seit Januar 2025 eine vollwertige MiCA-Lizenz der maltesischen Aufsicht MFSA und seit Februar 2026 zus\u00e4tzlich eine Zahlungsinstituts-Lizenz. Allerdings verh\u00e4ngte Maltas Geldw\u00e4sche-Meldestelle FIAU im April 2025 eine Bu\u00dfe von 1,1 Millionen Euro wegen fr\u00fcherer AML-M\u00e4ngel. Eine MiCA-Lizenz best\u00e4tigt den ordnungsgem\u00e4\u00dfen Betrieb des Dienstes, nicht ein sauberes Geldw\u00e4sche-Programm.<\/p>

Was ist der Unterschied zwischen KYC und AML?<\/h3>

KYC (Know Your Customer) ist die Identit\u00e4tspr\u00fcfung beim Onboarding, also ein einzelner Baustein. AML (Anti-Money-Laundering) bezeichnet das gesamte Programm gegen Geldw\u00e4sche, zu dem neben KYC die laufende Transaktions\u00fcberwachung, der Sanktionsabgleich, die Verdachtsmeldung und eine pr\u00fcfbare Governance geh\u00f6ren. Bei OKX existierte KYC auf dem Papier, das \u00fcbrige Programm fehlte weitgehend.<\/p>

Wer kontrolliert in Deutschland die Geldw\u00e4sche bei Krypto-B\u00f6rsen?<\/h3>

Die BaFin tr\u00e4gt eine Doppelrolle: Sie lizenziert Krypto-Dienstleister unter MiCAR und beaufsichtigt sie zugleich als Geldw\u00e4scheaufsicht des Finanzsektors. Verdachtsmeldungen gehen jedoch an die Financial Intelligence Unit bei der Generalzolldirektion, also beim Zoll. Ab 2028 \u00fcbernimmt die neue EU-Beh\u00f6rde AMLA mit Sitz in Frankfurt die direkte Aufsicht \u00fcber besonders risikoreiche Institute.<\/p>

Was \u00e4ndert sich f\u00fcr Krypto-Nutzer durch die AMLR ab 2027?<\/h3>

Ab dem 10. Juli 2027 verbietet die EU-Geldw\u00e4scheverordnung anonyme Krypto-Konten und den Handel mit Anonymisierungs-Coins wie Monero oder Zcash und setzt eine Bargeldobergrenze von 10.000 Euro. Bereits seit Ende 2024 gilt die Travel Rule ohne Bagatellgrenze, sodass bei Transfers Angaben zu Sender und Empf\u00e4nger mitgeschickt werden; \u00dcberweisungen zu selbst verwahrten Wallets l\u00f6sen ab 1.000 Euro zus\u00e4tzliche Pr\u00fcfungen aus.<\/p>