{"id":868,"date":"2026-11-03T04:30:43","date_gmt":"2026-11-03T04:30:43","guid":{"rendered":"https:\/\/hoge.gg\/de\/krypto-geldwaescheaufsicht-2026-bafin-pruefung-amla\/"},"modified":"2026-11-03T04:30:43","modified_gmt":"2026-11-03T04:30:43","slug":"krypto-geldwaescheaufsicht-2026-bafin-pruefung-amla","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/krypto-geldwaescheaufsicht-2026-bafin-pruefung-amla\/","title":{"rendered":"Geldw\u00e4scheaufsicht 2026: Was BaFin pr\u00fcft, bevor die AMLA kommt"},"content":{"rendered":"

Das Regelbuch f\u00fcr Krypto-Geldw\u00e4sche ist in Deutschland weitgehend geschrieben. Das Geldw\u00e4schegesetz gilt, die EU-Geldtransferverordnung ist seit Ende 2024 scharf gestellt, und die gro\u00dfe EU-Geldw\u00e4scheverordnung steht fest terminiert f\u00fcr Juli 2027 vor der T\u00fcr. Die Frage, die 2026 den Ton angibt, lautet deshalb nicht mehr, was in den Paragrafen steht. Sie lautet: Wer kontrolliert, ob sich eine Krypto-Plattform daran h\u00e4lt, und was passiert, wenn die Pr\u00fcfer L\u00fccken finden?<\/p>

Drei Kr\u00e4fte schieben diese Verschiebung vom Schreiben der Regeln zum Durchsetzen an. Die BaFin hat f\u00fcr 2026 mindestens 75 Sonderpr\u00fcfungen angek\u00fcndigt, mit zwei ausdr\u00fccklichen Krypto-Schwerpunkten. Die Financial Action Task Force (FATF) hat bei ihrem Plenum Ende Oktober L\u00e4nder mit bedeutsamen Krypto-M\u00e4rkten, Deutschland eingeschlossen, auf eine beschleunigte Nachpr\u00fcfung gesetzt. Und die neue EU-Beh\u00f6rde AMLA in Frankfurt kalibriert gerade das Modell, mit dem sie ab 2028 die riskantesten Institute direkt beaufsichtigt. Bitcoin notiert dabei rund 69.000 Euro (CoinGecko<\/a>), doch um den Kurs geht es hier nicht. Es geht um die Mechanik der Aufsicht.<\/p>

Vom Regelbuch zur Pr\u00fcfung: das Jahr der Kontrolle<\/h2>

Jahrelang drehte sich die Krypto-Regulierung in Europa um Texte: Welche Plattform braucht eine Lizenz, wie werden Stablecoins eingeordnet, wann greift MiCA. Dieser Teil ist im Wesentlichen erledigt. Seit dem 1. Juli 2026 ist die MiCA-\u00dcbergangsfrist EU-weit abgelaufen, in Deutschland sogar schon seit dem 31. Dezember 2025. Wer hierzulande Krypto-Dienstleistungen anbietet, braucht eine BaFin-Zulassung oder einen EU-Pass; ohne das eine oder andere ist der Betrieb illegal. Das Ergebnis ist ein gr\u00f6\u00dferer, sichtbarer und vor allem beaufsichtigter Sektor.<\/p>

Genau hier setzt die Aufsicht 2026 an. Die BaFin und die Financial Intelligence Unit (FIU) rechnen damit, dass Kundschaft und gro\u00dfe Anlagevolumina von nicht lizenzierten zu lizenzierten Anbietern wandern, und sie haben die Branche am 8. Juli 2026 ausdr\u00fccklich daran erinnert, dass ein \u00fcbernommener Kunde eine neue Gesch\u00e4ftsbeziehung ist, die die vollen Sorgfaltspflichten ausl\u00f6st (BaFin<\/a>). Mit anderen Worten: Der Wechsel in die legale Zone ist kein Freifahrtschein, sondern der Moment, in dem die Geldw\u00e4schepr\u00fcfung erst richtig beginnt. F\u00fcr Nutzerinnen, Nutzer und Plattformen verschiebt sich die entscheidende Frage von „Was sagen die Regeln?“ zu „Was schaut ein Pr\u00fcfer sich tats\u00e4chlich an?“<\/p>

KYC, AML und wer in Deutschland zust\u00e4ndig ist<\/h2>

Zwei Begriffe werden st\u00e4ndig verwechselt. KYC (Know Your Customer) ist der Einlass: die Identifizierung und Pr\u00fcfung einer Kundin oder eines Kunden beim Onboarding. AML (Anti-Money-Laundering) ist das ganze Regelwerk darum herum, von der laufenden \u00dcberwachung \u00fcber Verdachtsmeldungen bis zu Sanktionslisten. KYC ist also ein Baustein von AML, nicht sein Synonym. Eine Plattform kann ein tadelloses KYC-Frontend haben und trotzdem an der Geldw\u00e4scheaufsicht scheitern, wenn das laufende Monitoring oder die Meldekette nicht funktioniert.<\/p>

In Deutschland liegt die Zust\u00e4ndigkeit nicht bei der Wertpapieraufsicht, sondern verteilt sich auf zwei H\u00e4user. Die BaFin tr\u00e4gt einen doppelten Hut: Sie erteilt unter dem MiCAR-Regime die Lizenzen und sie beaufsichtigt dieselben Unternehmen nach dem Geldw\u00e4schegesetz (GwG). Die FIU, angesiedelt bei der Generalzolldirektion, nimmt die Verdachtsmeldungen entgegen, analysiert sie und leitet sie an die Strafverfolger weiter. Wichtig f\u00fcr das Verst\u00e4ndnis der ganzen Debatte: MiCA ist keine Geldw\u00e4scheregel. MiCA regelt Zulassung, Wohlverhalten und Verbraucherschutz von Krypto-Dienstleistern (BaFin-Merkblatt<\/a>); die Geldw\u00e4scheaufsicht l\u00e4uft parallel \u00fcber GwG, Geldtransferverordnung und bald die EU-Geldw\u00e4scheverordnung. Eine MiCA-Lizenz ist, wie der Fall OKX in diesem Jahr gezeigt hat, kein Geldw\u00e4sche-G\u00fctesiegel.<\/p>

Was ein Pr\u00fcfer bei einem CASP abklopft<\/h2>

Bevor man versteht, was die BaFin pr\u00fcft, muss man wissen, welche Pflichten \u00fcberhaupt auf dem Pr\u00fcfstand stehen. Das GwG macht aus einem Krypto-Dienstleister einen Verpflichteten mit einem festen Katalog an Sorgfaltspflichten. Dazu geh\u00f6ren die Identifizierung jeder Kundin und jedes Kunden mit Vorname, Nachname, Geburtsort, Geburtsdatum, Staatsangeh\u00f6rigkeit und Wohnanschrift (Paragraf 11 GwG), die risikobasierte Einstufung jeder Gesch\u00e4ftsbeziehung (Paragraf 10 und 15), das laufende Monitoring der Transaktionen, die unverz\u00fcgliche Verdachtsmeldung (Paragraf 43) und ein bestellter Geldw\u00e4schebeauftragter. Ein biometrischer „Proof of Human“ ersetzt das \u00fcbrigens nicht: Er kann die Lebendpr\u00fcfung h\u00e4rten, aber den gesetzlich geforderten Namen liefert er nicht, wie wir in unserer Analyse zur Krypto-Biometrie<\/a> ausf\u00fchrlich beschrieben haben.<\/p>

Nicht jede Kundenbeziehung wird gleich behandelt. Das GwG kennt drei Abstufungen: vereinfachte Sorgfaltspflichten bei nachweislich geringem Risiko (Paragraf 14), die allgemeinen Pflichten als Normalfall und verst\u00e4rkte Sorgfaltspflichten (Paragraf 15) bei erh\u00f6htem Risiko, etwa bei politisch exponierten Personen, bei Kunden aus Hochrisiko-Drittl\u00e4ndern oder bei undurchsichtigen Firmengeflechten. Welche Stufe gilt, leitet der Verpflichtete aus seiner eigenen Risikoanalyse nach Paragraf 5 ab, einem dokumentierten Lagebild der Risiken des Hauses. Genau dieses Dokument ist der Ausgangspunkt jeder Pr\u00fcfung: Wer sein Risiko nicht sauber analysiert hat, kann es auch nicht risikobasiert steuern, und der Pr\u00fcfer erkennt das sofort.<\/p>

Eine Geldw\u00e4schepr\u00fcfung ist im Kern ein Abgleich: Hat der Verpflichtete f\u00fcr jede dieser Pflichten einen funktionierenden Prozess, und greift dieser in der Praxis? Die folgende Tabelle zeigt die zentralen Pr\u00fcffelder, ihre Rechtsgrundlage und den typischen Schwachpunkt, an dem ein Pr\u00fcfer h\u00e4ngen bleibt.<\/p>

Pr\u00fcffeld<\/th>Rechtsgrundlage<\/th>Typischer Schwachpunkt<\/th><\/tr><\/thead>
Kundenidentifizierung (KYC)<\/td>Paragraf 11 GwG<\/td>Scheindokumente, schwache Lebendpr\u00fcfung, kein Abgleich mit Sanktionslisten<\/td><\/tr>
Risikoklassifizierung<\/td>Paragraf 10, 15 GwG<\/td>Pauschale Niedrigeinstufung, keine verst\u00e4rkten Pflichten bei Hochrisiko<\/td><\/tr>
Laufendes Monitoring<\/td>Paragraf 10 GwG<\/td>Regeln erkennen kein Layering, zu viele Fehlalarme, keine Nachverfolgung<\/td><\/tr>
Travel Rule<\/td>VO (EU) 2023\/1113<\/td>Begleitdaten fehlen, Gegenpartei nicht ermittelt, Self-hosted-Wallets ungepr\u00fcft<\/td><\/tr>
Verdachtsmeldung<\/td>Paragraf 43 GwG<\/td>Zu sp\u00e4t, zu selten oder defensiv in Masse gemeldet<\/td><\/tr>
Geldw\u00e4schebeauftragter<\/td>Paragraf 7 GwG<\/td>Unterbesetzt, ohne Ressourcen, Wachstum \u00fcberholt die Compliance<\/td><\/tr><\/tbody><\/table><\/figure>

BaFins Pr\u00fcfprogramm 2026: mindestens 75 Sonderpr\u00fcfungen<\/h2>

In ihrem Bericht „Risiken im Fokus 2026“ hat die BaFin angek\u00fcndigt, im Banken- und Nichtbankensektor mindestens 75 Sonderpr\u00fcfungen durchzuf\u00fchren. Zwei der Schwerpunkte betreffen Krypto unmittelbar: die Systeme zur Kundenrisiko-Klassifizierung und die Umsetzung der Travel Rule durch Krypto-Dienstleister, die seit Dezember 2024 gilt (BaFin<\/a>). Im Nichtbankensektor richtet sich der Blick zus\u00e4tzlich auf die \u00dcberwachung von Gesch\u00e4ftsbeziehungen und Transaktionen, unter anderem bei den rund 5.000 in Deutschland registrierten Agenten von EU-Zahlungsinstituten.<\/p>

Diese Zahl ist kein Papiertiger. Die BaFin f\u00fchrt pro Jahr rund 650 Aufsichtsgespr\u00e4che und unterh\u00e4lt ein versch\u00e4rftes Monitoring f\u00fcr bargeldnahe Gesch\u00e4fte. Birgit Rodolphe, seit Juli 2026 Exekutivdirektorin Anti-Financial Crime der BaFin, benannte den wunden Punkt so: „Wir sehen, dass Kriminelle immer h\u00e4ufiger die Anonymit\u00e4t von neuen Barzahlungsmethoden und Kryptoautomaten ausnutzen, um gesetzliche Regelungen zum Bargeld zu umgehen“ (BaFin<\/a>). Betreiber von Krypto-Automaten brauchen eine BaFin-Erlaubnis und m\u00fcssen Kunden sp\u00e4testens ab 1.000 Euro identifizieren, um das St\u00fcckeln von Betr\u00e4gen (Smurfing) zu erschweren.<\/p>

Hinzu kommt, dass die Krypto-Branche 2026 gleich doppelt gepr\u00fcft wird. Parallel zu den nationalen Geldw\u00e4sche-Sonderpr\u00fcfungen der BaFin hat die europ\u00e4ische Wertpapieraufsicht ESMA koordinierte Aufsichtsaktionen f\u00fcr den CASP-Sektor angesto\u00dfen, die auf Verwahrung und operative Resilienz zielen. F\u00fcr ein deutsches Krypto-Unternehmen hei\u00dft das: Die Geldw\u00e4schepr\u00fcfung ist nur eine von mehreren Klappen, die 2026 gleichzeitig aufgehen.<\/p>

Was eine Sonderpr\u00fcfung konkret bedeutet<\/h2>

Eine Sonderpr\u00fcfung nach Paragraf 44 KWG ist keine Schreibtisch\u00fcbung. Die BaFin ordnet sie an, l\u00e4sst sie h\u00e4ufig von externen Wirtschaftspr\u00fcfern durchf\u00fchren, und die Kosten tr\u00e4gt das gepr\u00fcfte Institut. Die Pr\u00fcfer beginnen in der Regel bei der hauseigenen Risikoanalyse nach Paragraf 5 GwG, also der Selbsteinsch\u00e4tzung, wo die Geldw\u00e4sche- und Terrorismusfinanzierungsrisiken des Unternehmens \u00fcberhaupt liegen. Von dort arbeiten sie sich in Stichproben vor: Sie ziehen Kundenakten und pr\u00fcfen, ob die dokumentierte Risikoeinstufung zur Realit\u00e4t passt, sie testen, ob das Monitoring-System die Muster wirklich erkennt, die es zu erkennen vorgibt, und sie verfolgen einzelne echte Transaktionen von Anfang bis Ende.<\/p>

Dann folgen die Gespr\u00e4che: mit dem Geldw\u00e4schebeauftragten, der Gesch\u00e4ftsleitung, mitunter der IT. Die Feststellungen werden nach Schwere abgestuft, von geringf\u00fcgig bis schwerwiegend, und jede ernste Feststellung kommt mit einer Frist zur Beseitigung. Ein makelloser Bericht ist selten; das realistische Ergebnis ist eine Liste von M\u00e4ngeln, die das Institut abarbeiten muss, oft unter den Augen eines Sonderbeauftragten. F\u00fcr eine Krypto-Plattform, die schnell gewachsen ist, liegt die unangenehme Wahrheit genau hier: Die Pr\u00fcfung misst den Betriebszustand, nicht den Glanz des Compliance-Handbuchs. Wer Kontrollen nur beschrieben, aber nie zum Laufen gebracht hat, f\u00e4llt in diesem Moment auf.<\/p>

Die Travel Rule als Pr\u00fcfschwerpunkt<\/h2>

Dass die BaFin ausgerechnet die Travel Rule herausgreift, ist kein Zufall. Die EU-Geldtransferverordnung (VO (EU) 2023\/1113) verlangt seit dem 30. Dezember 2024, dass bei jeder Krypto-\u00dcberweisung Angaben zu Auftraggeber und Beg\u00fcnstigtem mitgeschickt werden, und zwar ohne Bagatellgrenze; f\u00fcr Transfers an oder von selbstverwahrten Wallets \u00fcber 1.000 Euro greifen zus\u00e4tzliche Pr\u00fcfungen (EUR-Lex<\/a>). Was im Bankenverkehr seit Jahrzehnten \u00fcber standardisierte Nachrichten l\u00e4uft, muss im Krypto-Bereich erst gebaut werden: Es gibt kein SWIFT, keine Identit\u00e4t auf der Blockchain und kein globales Register der Dienstleister.<\/p>

Der Pr\u00fcfer fragt deshalb nicht, ob eine Plattform die Travel Rule kennt, sondern ob sie sie operativ umgesetzt hat: Werden die Begleitdaten tats\u00e4chlich erzeugt und \u00fcbermittelt? Wird die Gegenpartei ermittelt, bevor Coins das Haus verlassen? Wie werden Transfers an nicht gehostete Wallets behandelt? Genau an diesen Stellen scheitern viele, und genau dort setzt die Sonderpr\u00fcfung an. Die Travel Rule ist damit der Lackmustest daf\u00fcr, ob die Geldw\u00e4scheaufsicht im Krypto-Bereich vom Papier in den Code gefunden hat. Wer sie sauber umsetzt, sammelt nebenbei genau die Daten, die bei einer Verdachtsmeldung ohnehin gebraucht werden; wer sie ignoriert, hat im Ernstfall weder die Kontrolle noch die Nachweise.<\/p>

Technisch h\u00e4ngt die Umsetzung an einem gemeinsamen Datenstandard. Die Branche hat sich auf IVMS 101 geeinigt, ein einheitliches Format, damit die Angaben zu Auftraggeber und Beg\u00fcnstigtem zwischen Plattformen \u00fcberhaupt lesbar ausgetauscht werden k\u00f6nnen. Zwei Probleme bleiben hartn\u00e4ckig. Erstens das sogenannte Sunrise-Problem: Nicht alle L\u00e4nder stellen die Regel zum selben Zeitpunkt scharf, sodass eine deutsche Plattform ihre Daten oft an eine Gegenstelle schickt, die sie noch gar nicht verlangt oder verarbeiten kann. Zweitens die Ermittlung der Gegenpartei selbst. Bevor Coins das Haus verlassen, muss die Plattform wissen, ob die Empf\u00e4ngeradresse zu einem anderen Dienstleister oder zu einem selbstverwahrten Wallet geh\u00f6rt, und im zweiten Fall ab 1.000 Euro einen Eigentums- oder Kontrollnachweis einholen. Jeder dieser Schritte ist ein eigener Pr\u00fcfpunkt.<\/p>

Die Eskalationsleiter: von der Anordnung bis zum Lizenzentzug<\/h2>

Findet eine Pr\u00fcfung M\u00e4ngel, hat die BaFin eine abgestufte Werkzeugkiste. Sie beginnt beim Aufsichtsgespr\u00e4ch und der Sonderpr\u00fcfung, reicht \u00fcber f\u00f6rmliche Anordnungen und die Bestellung eines Sonderbeauftragten bis hin zu Wachstumsbeschr\u00e4nkungen, Bu\u00dfgeldern, der Abberufung von Gesch\u00e4ftsleitern und im Extremfall dem Entzug der Erlaubnis. Das Geldw\u00e4schegesetz erlaubt f\u00fcr schwere, systematische oder wiederholte Verst\u00f6\u00dfe von Instituten Bu\u00dfgelder von bis zu f\u00fcnf Millionen Euro oder zehn Prozent des Jahresumsatzes. Entscheidend ist dabei: Jede Stufe ist eine eigene H\u00fcrde, und ein Institut kann auf jeder Stufe h\u00e4ngen bleiben, ohne je an die n\u00e4chste zu gelangen. Die folgende Tabelle ordnet die Stufen und nennt jeweils ein deutsches Beispiel.<\/p>

Stufe<\/th>Instrument \/ Grundlage<\/th>Deutsches Beispiel<\/th><\/tr><\/thead>
1. Dialog<\/td>Aufsichtsgespr\u00e4ch (rund 650 pro Jahr)<\/td>Routine bei allen Instituten<\/td><\/tr>
2. Pr\u00fcfung<\/td>Sonderpr\u00fcfung (Paragraf 44 KWG, Paragraf 51 GwG)<\/td>Bitpanda (Risikomanagement)<\/td><\/tr>
3. Anordnung<\/td>Ma\u00dfnahmen nach Paragraf 51 GwG \/ Paragraf 6b KWG<\/td>Solaris SE seit 2022<\/td><\/tr>
4. Sonderbeauftragter<\/td>Paragraf 45c \/ Paragraf 6b KWG<\/td>N26, Solaris SE<\/td><\/tr>
5. Wachstumsbremse<\/td>Beschr\u00e4nkung des Neugesch\u00e4fts<\/td>N26: 50.000 Neukunden pro Monat<\/td><\/tr>
6. Bu\u00dfgeld<\/td>Paragraf 56 GwG (bis 5 Mio. Euro \/ 10 Prozent)<\/td>N26: 9,2 Mio. Euro<\/td><\/tr>
7. Entzug<\/td>Aufhebung der Erlaubnis<\/td>im Krypto-Sektor bislang selten<\/td><\/tr><\/tbody><\/table><\/figure>

Welche Stufe die BaFin zieht, richtet sich nach dem Grundsatz der Verh\u00e4ltnism\u00e4\u00dfigkeit: Je schwerer und hartn\u00e4ckiger die M\u00e4ngel, desto h\u00e4rter das Mittel. Der Sonderbeauftragte ist dabei das vielleicht wirksamste Instrument unterhalb des Lizenzentzugs. Er ist kein Berater, sondern eine von der Aufsicht eingesetzte Person mit eigenen Befugnissen, die im Haus sitzt, die Nachbesserung \u00fcberwacht und direkt an die BaFin berichtet. F\u00fcr ein Institut ist das ein tiefer Eingriff: Reputationsschaden, Mehrkosten und ein Aufseher, der jede Entscheidung mitliest. Dass die BaFin dieses Mittel in den vergangenen Jahren mehrfach im Fintech- und Krypto-nahen Umfeld gezogen hat, zeigt, wie ernst sie die L\u00fccken in der Geldw\u00e4schevorsorge nimmt.<\/p>

Drei deutsche F\u00e4lle: N26, Solaris und Bitpanda<\/h2>

Die Eskalationsleiter ist keine Theorie. Der bekannteste Fall ist die Neobank N26. Weil die Geldw\u00e4schevorsorge mit dem rasanten Wachstum nicht Schritt hielt, ordnete die BaFin 2021 eine Wachstumsbeschr\u00e4nkung an: N26 durfte nur noch 50.000 Neukunden pro Monat aufnehmen, und ein Sonderbeauftragter \u00fcberwachte die Nachbesserungen (BaFin<\/a>). Sp\u00e4ter kam ein Bu\u00dfgeld von 9,2 Millionen Euro hinzu, weil Verdachtsmeldungen systematisch zu sp\u00e4t bei der FIU eingingen (procontra<\/a>). Die Wachstumsbremse hob die BaFin erst nach rund zweieinhalb Jahren wieder auf.<\/p>

Der zweite Fall ist krypto-n\u00e4her: die Solaris SE, als Banking-as-a-Service-Anbieter die technische R\u00fcckwand vieler Fintech- und Krypto-Angebote. Bereits Ende 2022 ordnete die BaFin Ma\u00dfnahmen wegen M\u00e4ngeln im Risikomanagement und in der Geldw\u00e4schepr\u00e4vention an, bestellte einen Sonderbeauftragten und schr\u00e4nkte neue Kooperationspartnerschaften ein. 2024 verl\u00e4ngerte sie die Auflagen, weil die M\u00e4ngel zum Teil fortbestanden, und verlangte unter anderem dokumentierte Adresspr\u00fcfungen im Onboarding sowie Transfer- und Auszahlungslimits f\u00fcr bestimmte Konten (BaFin<\/a>). Und drittens geriet 2026 mit Bitpanda ein prominenter Krypto-Anbieter in die Schlagzeilen: \u00dcber eine interne BaFin-Sonderpr\u00fcfung berichteten S\u00fcddeutsche Zeitung und Tagesschau, deren Feststellungen in den Medien als „gravierend“ eingeordnet wurden (BTC-Echo<\/a>).<\/p>

Die rote Linie durch alle drei F\u00e4lle: Wachstum \u00fcberholt die Compliance, und eine Lizenz sch\u00fctzt nicht vor der Aufsicht. Pr\u00fcfungen interessieren sich nicht daf\u00fcr, ob Kontrollen auf dem Papier existieren, sondern ob sie in der Praxis greifen. Genau diese Unterscheidung zwischen vorhandener und wirksamer Kontrolle ist der Kern jeder Geldw\u00e4schepr\u00fcfung.<\/p>

Die Meldekette: FIU, goAML und die Blockchain-Transactions-ID<\/h2>

Das Gegenst\u00fcck zur Pr\u00fcfung ist die Meldung. Sch\u00f6pft ein Verpflichteter Verdacht, muss er unverz\u00fcglich eine Verdachtsmeldung an die FIU senden (Paragraf 43 GwG), und er darf den Betroffenen nicht warnen (Verbot des Tipping-off, Paragraf 47). Eingereicht wird elektronisch \u00fcber das Portal goAML. Die Zahlen zeigen, wie sehr dieser Kanal unter Druck steht: 2025 gingen bei der FIU 374.693 Verdachtsmeldungen ein, rund 41 Prozent mehr als die 265.708 des Vorjahres, getrieben vor allem von digitalen Finanzdienstleistern und Neobanken (shinrai legal<\/a>).<\/p>

Die Meldeflut w\u00e4chst, doch die Zahl der weitergeleiteten Analyseberichte sinkt, ein Hinweis darauf, dass mehr Meldungen nicht automatisch mehr Ermittlungserfolge bedeuten. F\u00fcr den Krypto-Bereich ist eine Neuerung wichtig: Seit dem 1. M\u00e4rz 2026 muss die Blockchain-Transactions-ID Teil der Meldung sein, damit die FIU eine verd\u00e4chtige Zahlung auf der Kette nachvollziehen kann (Pressebox<\/a>). Die FIU selbst steht vor einem Umbau: Mit dem Zollfinanzgerechtigkeitsgesetz, das zum 1. Januar 2027 in Kraft tritt, wird die Generalzolldirektion neu geordnet und die Bek\u00e4mpfung der Finanzkriminalit\u00e4t geb\u00fcndelt. Die Meldekette, \u00fcber Jahre als Nadel\u00f6hr kritisiert, soll so mehr Durchsatz bekommen.<\/p>

Die L\u00fccke ist dabei nicht nur eine Frage der Qualit\u00e4t, sondern auch der Reichweite. Von den gesch\u00e4tzt rund 342.000 meldepflichtigen Verpflichteten in Deutschland ist nur ein Bruchteil \u00fcberhaupt im Portal goAML registriert, obwohl die Registrierung vorgeschrieben ist. Hinzu kommt ein strukturelles Problem: Institute, die eine Strafe f\u00fcr eine zu sp\u00e4te Meldung f\u00fcrchten, neigen dazu, im Zweifel lieber zu viel zu melden. Diese defensiven Meldungen bl\u00e4hen die Statistik auf, ohne die Trefferquote zu erh\u00f6hen, und binden Analysekapazit\u00e4t, die f\u00fcr die wirklich verd\u00e4chtigen F\u00e4lle fehlt. F\u00fcr Krypto-Dienstleister, die als Neulinge in dieses System eintreten, ist die Versuchung gro\u00df, sich mit Masse abzusichern; bewertet wird am Ende aber Qualit\u00e4t und Rechtzeitigkeit, nicht Menge.<\/p>

Die FATF-Uhr: Deutschland im Kreis der wichtigen Krypto-M\u00e4rkte<\/h2>

Die nationale Pr\u00fcfwelle steht nicht f\u00fcr sich. Auf ihrem Plenum vom 28. bis 30. Oktober 2026, dem ersten unter dem britischen Pr\u00e4sidenten Giles Thomson, hat die FATF beschlossen, die Umsetzung ihrer Krypto-Standards in L\u00e4ndern mit bedeutsamen Krypto-M\u00e4rkten deutlich zu beschleunigen. Die Beh\u00f6rde startet eine gezielte \u00dcberpr\u00fcfung samt beschleunigtem Nachverfolgungsprozess; die Ergebnisse sollen im Juni und Oktober 2027 ver\u00f6ffentlicht werden (FATF<\/a>). Weil sich der Kreis dieser L\u00e4nder an objektiven Kriterien wie Marktgr\u00f6\u00dfe und Aktivit\u00e4t bemisst, geh\u00f6rt Deutschland als gro\u00dfer europ\u00e4ischer Krypto-Markt und FATF-Mitglied selbstverst\u00e4ndlich dazu. \u00dcbersetzt hei\u00dft das: Nicht nur die BaFin schaut 2026 genauer hin, auch die internationale Uhr l\u00e4uft.<\/p>

Parallel r\u00fcckt der Betrug ins Zentrum. Das Plenum verabschiedete den ersten FATF-Bericht zu illegalen Geldfl\u00fcssen rund um sogenannte Scam Compounds, jene industriell betriebenen Betrugszentren in S\u00fcdostasien, und terminierte die Ver\u00f6ffentlichung auf Anfang November 2026 (ComplyAdvantage<\/a>). Weltweit summieren sich die Betrugssch\u00e4den auf \u00fcber 500 Milliarden US-Dollar, rund 70 Prozent der Opfer zeigen die Tat nie an. Thomson warnte nach dem Plenum, das Schlimmste stehe wegen fortschreitender Digitalisierung und besser vernetzter Zahlungssysteme erst noch bevor (AML Intelligence<\/a>). Von der grauen Liste strich die FATF derweil Bulgarien, die Elfenbeink\u00fcste, die Demokratische Republik Kongo und Monaco; Nordkorea und Iran bleiben Hochrisikostaaten. Deutschlands eigene Pr\u00fcfung von 2022 hatte Schw\u00e4chen gerade im Nicht-Finanzsektor und bei komplexen Firmenstrukturen offengelegt, genau dort, wo Krypto-Geldw\u00e4sche gern andockt.<\/p>

Die eigentliche Druckaus\u00fcbung der FATF l\u00e4uft nicht \u00fcber Gesetze, sondern \u00fcber zwei Listen. Wer bei einer L\u00e4nderpr\u00fcfung durchf\u00e4llt, landet auf der grauen Liste der verst\u00e4rkt beobachteten Staaten oder, im Extremfall wie Nordkorea und Iran, auf der schwarzen. Eine Listung ist kein juristisches Verbot, sie wirkt \u00fcber den Markt: Internationale Banken und Investoren ziehen sich zur\u00fcck, Kapital wird teurer, Korrespondenzbeziehungen brechen weg. Genau diese Hebelwirkung erkl\u00e4rt, warum die beschleunigte Krypto-Nachpr\u00fcfung in den wichtigen M\u00e4rkten ernst zu nehmen ist. Eine schwache Aufsicht \u00fcber Krypto-Dienstleister ist 2026 zunehmend ein Grund, der L\u00e4nder auf die Liste bringt oder dort h\u00e4lt, und damit ein Risiko, das weit \u00fcber die einzelne Plattform hinausreicht.<\/p>

AMLA in Frankfurt: die zentrale \u00dcbernahme<\/h2>

Der dritte und langfristig gr\u00f6\u00dfte Hebel sitzt in Frankfurt. Die neue EU-Geldw\u00e4schebeh\u00f6rde AMLA, untergebracht im MesseTurm und geleitet von Bruna Szego, hat zum 1. Januar 2026 die einschl\u00e4gigen Mandate der Europ\u00e4ischen Bankenaufsicht \u00fcbernommen. Ihr Zeitplan ist eng getaktet: Methodik im Dezember 2025 ver\u00f6ffentlicht, Datenerhebung zur Kalibrierung der Risikomodelle seit M\u00e4rz 2026, erste Auswahl der direkt beaufsichtigten Institute 2027 und direkte Aufsicht ab 2028 (Freshfields<\/a>). Bis zu 40 grenz\u00fcberschreitende Gruppen wird die AMLA in der ersten Runde selbst beaufsichtigen; der Rest bleibt wie bisher bei den nationalen Beh\u00f6rden, also f\u00fcr deutsche Firmen bei der BaFin.<\/p>

F\u00fcr den Krypto-Sektor ist das keine Randnotiz. Die AMLA hat den grenz\u00fcberschreitenden Krypto-Bereich und neue Zahlungskan\u00e4le ausdr\u00fccklich zur Aufsichtspriorit\u00e4t erkl\u00e4rt, und Szego nannte das Thema bei ihrem Auftritt vor den EU-Parlamentsaussch\u00fcssen ECON und LIBE eine unmittelbare Baustelle der jungen Beh\u00f6rde (AMLA<\/a>). Sie hatte zudem gewarnt, die Migration nach dem Auslaufen der MiCA-\u00dcbergangsfristen k\u00f6nne die Geldw\u00e4sche kurzfristig schwerer auffindbar machen: Kundinnen und Kunden dr\u00e4ngten zu Abhebungen, was die sich zur\u00fcckziehenden Plattformen zus\u00e4tzlich unter Druck setze. F\u00fcr die gr\u00f6\u00dften deutschen oder paneurop\u00e4ischen Krypto-Anbieter bedeutet die Zweiteilung, dass sie es ab 2028 wom\u00f6glich nicht mehr allein mit der BaFin, sondern direkt mit Frankfurt zu tun bekommen.<\/p>

Wie die AMLA ihre h\u00f6chstens 40 Institute ausw\u00e4hlt, folgt festen Kriterien: Im Blick sind grenz\u00fcberschreitend in mehreren Mitgliedstaaten t\u00e4tige Gruppen mit erh\u00f6htem Risikoprofil, nicht die vielen rein nationalen Anbieter. Und die direkte Aufsicht bedeutet nicht, dass die BaFin verschwindet. Die AMLA arbeitet mit gemeinsamen Aufsichtsteams, in denen nationale Pr\u00fcfer und Frankfurter Personal zusammensitzen. F\u00fcr die gro\u00dfe Mehrheit der deutschen CASPs bleibt die BaFin also die erste Adresse, w\u00e4hrend die Beh\u00f6rde im MesseTurm den Ma\u00dfstab setzt, an dem sich alle messen lassen m\u00fcssen. Die Zweiteilung soll verhindern, dass ein Konzern durch die L\u00fccken zwischen den nationalen Aufsehern schl\u00fcpft, so wie es einigen Offshore-Plattformen jahrelang gelang.<\/p>

AMLR und TFR: der Rechtsrahmen, den die Pr\u00fcfer anwenden<\/h2>

Hinter all dem steht ein Rechtsrahmen, der gerade vom nationalen Flickenteppich auf ein einheitliches EU-Regelbuch umgestellt wird. Die Geldtransferverordnung gilt bereits unmittelbar. Die EU-Geldw\u00e4scheverordnung (VO (EU) 2024\/1624) tritt am 10. Juli 2027 in volle Anwendung und ersetzt in weiten Teilen das nationale GwG durch direkt geltendes EU-Recht. Sie verbietet anonyme Krypto-Konten und Anonymit\u00e4ts-Coins wie Monero oder Zcash bei beaufsichtigten Dienstleistern und zieht eine Bargeldobergrenze von 10.000 Euro ein (EUR-Lex<\/a>). F\u00fcr die Pr\u00fcfer bedeutet das: Der Ma\u00dfstab, an dem sie messen, wird europ\u00e4isch, und er wird strenger. Die folgende Zeitleiste ordnet die wichtigsten Stationen.<\/p>

Datum<\/th>Regel \/ Ereignis<\/th>Wirkung<\/th><\/tr><\/thead>
30. Dez. 2024<\/td>Geldtransferverordnung scharf<\/td>Begleitdaten bei jeder Krypto-\u00dcberweisung, keine Bagatellgrenze<\/td><\/tr>
1. Jan. 2026<\/td>AMLA \u00fcbernimmt EBA-Mandate<\/td>Start der zentralen EU-Geldw\u00e4schebeh\u00f6rde in Frankfurt<\/td><\/tr>
1. M\u00e4rz 2026<\/td>Blockchain-Transactions-ID<\/td>Krypto-Spur wird Teil der Verdachtsmeldung<\/td><\/tr>
28.-30. Okt. 2026<\/td>FATF-Plenum, beschleunigte Krypto-Nachpr\u00fcfung<\/td>Ergebnisse Juni und Oktober 2027<\/td><\/tr>
10. Juli 2027<\/td>AMLR in voller Anwendung<\/td>Verbot anonymer Konten und Anonymit\u00e4ts-Coins, 10.000-Euro-Grenze<\/td><\/tr>
2027<\/td>AMLA, erste Auswahl<\/td>bis zu 40 grenz\u00fcberschreitende Gruppen<\/td><\/tr>
2028<\/td>AMLA, direkte Aufsicht<\/td>EU-Aufsicht der riskantesten Institute beginnt<\/td><\/tr><\/tbody><\/table><\/figure>

Was es f\u00fcr Nutzer und Anbieter bedeutet<\/h2>

F\u00fcr Privatpersonen hei\u00dft die Pr\u00fcfwelle vor allem: mehr Fragen. Wer von einer abgewickelten, nicht lizenzierten Plattform zu einem lizenzierten Anbieter wechselt, durchl\u00e4uft eine volle Identifizierung und, je nach Risikoprofil, verst\u00e4rkte Sorgfaltspflichten mit Nachweisen zur Herkunft der Mittel. Auszahlungen an das eigene, selbstverwahrte Wallet oberhalb von 1.000 Euro l\u00f6sen zus\u00e4tzliche Kontrollen aus, und wer \u00fcber die Fiat-Br\u00fccke oder einen Stablecoin aussteigt, trifft genau dort auf die sch\u00e4rfsten Kontrollpunkte. Dass dieselbe Strenge im Extremfall zur Kontok\u00fcndigung f\u00fchren kann, ist die Kehrseite, die wir an anderer Stelle beleuchtet haben. Auch die Welt der Euro-Stablecoins<\/a> ordnet sich dieser Logik unter: Der regulierte Emittent ist der Kontrollpunkt, an dem eingefroren wird.<\/p>

F\u00fcr Anbieter verschiebt sich die Arbeit von der Formulierung von Richtlinien zur Dokumentation wirksamer Prozesse. Eine Sonderpr\u00fcfung fragt nach Belegen: Wie wurde das Kundenrisiko eingestuft, warum, und wer hat es \u00fcberpr\u00fcft? Funktioniert die Travel-Rule-\u00dcbermittlung mit realen Gegenparteien? Werden Verdachtsmeldungen unverz\u00fcglich und nicht erst im Monatsstapel versandt? Ein vielversprechender Ausweg aus dem Zielkonflikt zwischen Kontrolle und Datensparsamkeit sind datenschonende Nachweise per Zero-Knowledge-Verfahren, wie sie in der Debatte um zk-Beweissysteme<\/a> diskutiert werden; noch aber haben weder AMLR noch FATF solche Verfahren als eigenst\u00e4ndige Compliance anerkannt, sodass die Haftung beim beaufsichtigten Unternehmen bleibt.<\/p>

Dazu kommt die schlichte Kostenfrage. Geldw\u00e4sche-Compliance ist personalintensiv: ein bestellter Geldw\u00e4schebeauftragter samt Stellvertreter, ein Monitoring-System, Schulungen, die j\u00e4hrliche Aktualisierung der Risikoanalyse. Wer Teile davon auslagert, etwa an einen spezialisierten Dienstleister oder an einen Banking-as-a-Service-Partner, bleibt nach Paragraf 6 GwG dennoch verantwortlich; der Fall Solaris hat gezeigt, dass eine schwache R\u00fcckwand den gesamten davon abh\u00e4ngigen Fintech-Baukasten gef\u00e4hrdet. F\u00fcr kleinere CASPs ist das ein handfester Wettbewerbsnachteil gegen\u00fcber den Gro\u00dfen, die eigene Compliance-Abteilungen unterhalten. Genau diese Schieflage ist einer der Gr\u00fcnde, warum die Konsolidierung im europ\u00e4ischen Krypto-Markt nach dem Ende der \u00dcbergangsfristen so schnell voranschreitet.<\/p>

Der transatlantische Kontrast<\/h2>

W\u00e4hrend Europa die Aufsicht versch\u00e4rft, zieht sich Washington zur\u00fcck. Pr\u00e4sidiale Begnadigungen in prominenten Krypto-Strafsachen, eine SEC, die Regeln lieber \u00fcber widerrufliche Verwaltungsinstrumente als \u00fcber Gesetze setzt, und ein Kongress, der sein gro\u00dfes Marktgesetz nicht durchbrachte, zeichnen das Bild eines Landes, das vom Vollzug auf Zur\u00fcckhaltung umschaltet; wir haben diese Bilanz des Kurswechsels<\/a> ausf\u00fchrlich nachgezeichnet. Selbst dort, wo die USA Geldw\u00e4scheregeln versch\u00e4rfen, etwa beim Stablecoin-Gesetz GENIUS, das Emittenten an das Bankgeheimnisgesetz bindet, geschieht das punktuell statt fl\u00e4chendeckend, wie das finale US-Regelwerk<\/a> zeigt.<\/p>

F\u00fcr deutsche Nutzer und Anbieter ist der Kontrast mehr als eine Fu\u00dfnote. Er bedeutet, dass die strengsten Kontrollpunkte 2026 in Europa liegen und dass die eigentliche Frage nicht lautet, ob die Regeln hart sind, sondern ob die Aufsicht sie durchsetzt. Genau das entscheidet sich in den n\u00e4chsten beiden Jahren: 2027 greift die AMLR, w\u00e4hlt die AMLA ihre ersten Institute aus, und die FATF-Ergebnisse zu den wichtigen Krypto-M\u00e4rkten liegen auf dem Tisch. 2026 und 2027 sind damit die Jahre, in denen sich zeigt, ob aus dem geschriebenen Regelbuch eine gelebte Aufsicht wird.<\/p>

H\u00e4ufig gestellte Fragen<\/h2>

Was pr\u00fcft die BaFin 2026 bei Krypto-Unternehmen?<\/h3>

Die BaFin hat f\u00fcr 2026 mindestens 75 Sonderpr\u00fcfungen im Banken- und Nichtbankensektor angek\u00fcndigt. Bei Krypto-Dienstleistern stehen vor allem die Systeme zur Kundenrisiko-Klassifizierung und die operative Umsetzung der Travel Rule im Fokus, also ob die vorgeschriebenen Begleitdaten bei \u00dcberweisungen tats\u00e4chlich erzeugt und \u00fcbermittelt werden.<\/p>

Was ist der Unterschied zwischen KYC und AML?<\/h3>

KYC (Know Your Customer) ist die Identifizierung und Pr\u00fcfung einer Kundin oder eines Kunden beim Onboarding. AML (Anti-Money-Laundering) ist das gesamte Regelwerk dahinter, von der laufenden \u00dcberwachung \u00fcber Verdachtsmeldungen bis zu Sanktionslisten. KYC ist damit ein Baustein von AML, nicht dessen Synonym.<\/p>

Wer beaufsichtigt Krypto-Geldw\u00e4sche in Deutschland?<\/h3>

Zust\u00e4ndig ist die BaFin, die zugleich die MiCAR-Lizenzen erteilt und die Geldw\u00e4scheaufsicht nach dem Geldw\u00e4schegesetz f\u00fchrt. Die Verdachtsmeldungen laufen bei der FIU zusammen, die bei der Generalzolldirektion angesiedelt ist. Ab 2028 beaufsichtigt zus\u00e4tzlich die EU-Beh\u00f6rde AMLA in Frankfurt die gr\u00f6\u00dften grenz\u00fcberschreitenden Gruppen direkt.<\/p>

Was \u00e4ndert sich mit der EU-Geldw\u00e4scheverordnung 2027?<\/h3>

Die AMLR tritt am 10. Juli 2027 in volle Anwendung und ersetzt in weiten Teilen das nationale GwG durch direkt geltendes EU-Recht. Sie verbietet anonyme Krypto-Konten und Anonymit\u00e4ts-Coins bei beaufsichtigten Dienstleistern und f\u00fchrt eine Bargeldobergrenze von 10.000 Euro ein.<\/p>

Muss ich bei Auszahlungen an mein eigenes Wallet mit Pr\u00fcfungen rechnen?<\/h3>

F\u00fcr Transfers an oder von selbstverwahrten Wallets \u00fcber 1.000 Euro verlangt die Geldtransferverordnung zus\u00e4tzliche Kontrollen, etwa einen Eigentums- oder Kontrollnachweis. Die Zahlungen selbst sind nicht verboten, und reine P2P-Transfers ohne Dienstleister bleiben ausdr\u00fccklich ausgenommen.<\/p>