Jahrelang war das der Satz, der KuCoin gro\u00df gemacht hat: Hier musst du dich nicht ausweisen. Keine Passkopie, kein Selfie-Video, keine Wohnadresse. Wer eine E-Mail-Adresse hatte, konnte handeln. Die B\u00f6rse nannte sich selbst die Volksb\u00f6rse, und ein gutes St\u00fcck dieses Versprechens bestand schlicht darin, dass niemand nach einem Ausweis fragte. Im Januar 2025 stellte das US-Justizministerium klar, was dieses Versprechen am Ende wert war: rund 297 Millionen US-Dollar, der R\u00fcckzug aus dem gr\u00f6\u00dften Markt der Welt und, ein Jahr sp\u00e4ter, ein dauerhaftes Verbot.<\/p>
F\u00fcr deutsche Leserinnen und Leser ist der Fall mehr als eine amerikanische Strafsache. Dieselbe B\u00f6rse, die Washington ausgewiesen hat, h\u00e4lt heute eine MiCA-Lizenz aus \u00d6sterreich und darf \u00fcber diese Lizenz auch deutsche Kundinnen und Kunden bedienen. Und auch in Europa holte KuCoin die eigene Vergangenheit ein: Wenige Monate nach der Lizenz verh\u00e4ngte die \u00f6sterreichische Finanzmarktaufsicht ein Neugesch\u00e4ftsverbot, weil der B\u00f6rse in Wien die vorgeschriebenen Geldw\u00e4sche-Fachleute fehlten. Der Fall KuCoin erz\u00e4hlt damit in einem Bogen, was Know Your Customer (KYC) und Anti Money Laundering (AML) im Kryptomarkt 2026 wirklich bedeuten, und warum eine Lizenz und eine Compliance-Kultur zwei verschiedene Dinge sind.<\/p>
Der Zeitpunkt passt zur Nervosit\u00e4t des Marktes. Bitcoin notierte am 13. November 2026 bei rund 64.500 Euro, gut zweieinhalb Prozent im Minus binnen eines Tages, die gesamte Kryptokapitalisierung lag nahe 1,3 Billionen Euro (CoinGecko<\/a>). In solchen Phasen z\u00e4hlt Vertrauen, und Vertrauen ist am Ende genau das, was eine funktionierende Identit\u00e4tspr\u00fcfung herstellen soll. KuCoin ist das Lehrst\u00fcck daf\u00fcr, was passiert, wenn eine B\u00f6rse auf diese Pr\u00fcfung jahrelang verzichtet und die L\u00fccke sogar als Vorzug verkauft.<\/p> Die beiden K\u00fcrzel werden oft in einem Atemzug genannt, meinen aber unterschiedliche Dinge. KYC, Know Your Customer, ist der Moment der Identifizierung: Eine B\u00f6rse stellt fest, wer ihr Kunde ist, pr\u00fcft einen amtlichen Ausweis, gleicht ein Selfie oder ein Liveness-Video gegen das Dokument ab und kontrolliert den Namen gegen Sanktions- und PEP-Listen. AML, Anti Money Laundering, ist der gr\u00f6\u00dfere Rahmen, in dem KYC nur ein Baustein ist: die gesamte Maschinerie aus Risikobewertung, laufender Transaktions\u00fcberwachung, Verdachtsmeldungen und Aufbewahrungspflichten, die verhindern soll, dass schmutziges Geld sauber wird.<\/p> Die Pr\u00fcfung kennt zwei Tiefen. Bei normalem Risiko gen\u00fcgt die einfache Sorgfaltspflicht (Customer Due Diligence): Identit\u00e4t feststellen, Zweck der Gesch\u00e4ftsbeziehung verstehen, laufend beobachten. Bei erh\u00f6htem Risiko, etwa bei politisch exponierten Personen oder Zahlungen aus Hochrisikol\u00e4ndern, greift die verst\u00e4rkte Sorgfaltspflicht (Enhanced Due Diligence) mit zus\u00e4tzlichen Nachweisen zur Mittelherkunft. Im US-Recht ruht das Ganze auf f\u00fcnf S\u00e4ulen, die der Bank Secrecy Act jeder regulierten Finanzinstitution vorschreibt: interne Kontrollen und schriftliche Richtlinien, ein benannter Compliance-Beauftragter, regelm\u00e4\u00dfige Schulungen, eine unabh\u00e4ngige Pr\u00fcfung des Programms und, seit 2018 ausdr\u00fccklich als f\u00fcnfte S\u00e4ule, die risikobasierte Sorgfaltspflicht gegen\u00fcber Kunden. Das deutsche Geldw\u00e4schegesetz (GwG) kennt dieselbe Logik unter anderen Paragraphen: interne Sicherungsma\u00dfnahmen, einen Geldw\u00e4schebeauftragten, die allgemeinen und verst\u00e4rkten Sorgfaltspflichten der Paragraphen 10, 14 und 15 sowie die Pflicht zur Verdachtsmeldung. Wer eines dieser Elemente wegl\u00e4sst, betreibt kein schlankes Programm, sondern ein unvollst\u00e4ndiges.<\/p> Dahinter steht ein simples Modell, wie Geldw\u00e4sche funktioniert: Platzierung (schmutziges Geld kommt ins System), Verschleierung (es wird durch viele Transaktionen, Wallets und Jurisdiktionen geschleust, bis die Spur verwischt) und Integration (es taucht als scheinbar legitimes Verm\u00f6gen wieder auf). KYC setzt an der ersten Stufe an, die Transaktions\u00fcberwachung an der zweiten. F\u00e4llt die erste H\u00fcrde weg, wird die zweite ungleich schwerer, weil niemand wei\u00df, wessen Geld \u00fcberhaupt flie\u00dft. Genau hier liegt der Kern des KuCoin-Falls.<\/p> Ein verbreitetes Missverst\u00e4ndnis vorweg: Bei Krypto-Geldw\u00e4sche geht es nicht um die B\u00f6rsenaufsicht im Sinne der Wertpapierregulierung. In den USA ist nicht die SEC die treibende Kraft, sondern das Financial Crimes Enforcement Network (FinCEN) als Teil des Finanzministeriums, flankiert vom Office of Foreign Assets Control (OFAC) f\u00fcr Sanktionen und dem Justizministerium f\u00fcr die Strafverfolgung. Eine Kryptob\u00f6rse, die Kundengelder bewegt, gilt in den USA als Money Services Business und muss sich registrieren. Tut sie das nicht, verst\u00f6\u00dft sie gegen Paragraph 1960 des US-Strafgesetzbuchs, den Tatbestand des unerlaubten Geldtransfergesch\u00e4fts. Genau dieser Vorwurf stand bei KuCoin im Zentrum, nicht etwa ein Streit \u00fcber die Einordnung eines Tokens als Wertpapier.<\/p> In Deutschland verl\u00e4uft die Zust\u00e4ndigkeit parallel. Die BaFin beaufsichtigt Kryptodienstleister sowohl auf der Lizenzseite als auch als Verpflichtete nach dem Geldw\u00e4schegesetz; sie betont in ihrem Merkblatt zu Kryptowerte-Dienstleistungen, dass MiCA und GwG die Dienstleister und Emittenten regulieren, nicht das Protokoll dahinter (BaFin<\/a>). Verdachtsmeldungen laufen nicht bei der BaFin auf, sondern bei der Financial Intelligence Unit (FIU), die bei der Generalzolldirektion angesiedelt ist und die Meldungen seit dem 1. M\u00e4rz 2026 im Format goAML mitsamt der Blockchain-Transaktions-ID verlangt. Die Aufgabenteilung ist wichtig, weil sie erkl\u00e4rt, warum eine B\u00f6rse eine Handelslizenz besitzen und trotzdem ein Geldw\u00e4scheproblem haben kann: Es sind zwei verschiedene Pr\u00fcfungen durch zwei verschiedene Beh\u00f6rden, und bestanden sein m\u00fcssen beide.<\/p> Konkret hei\u00dft \u00dcberwachung, dass regulierte Anbieter Auff\u00e4lligkeiten melden m\u00fcssen. In den USA kennt das System feste Schwellen: Bargeldgesch\u00e4fte \u00fcber 10.000 Dollar l\u00f6sen einen Currency Transaction Report aus, verd\u00e4chtige Muster einen Suspicious Activity Report an FinCEN, unabh\u00e4ngig vom Betrag. Das deutsche Geldw\u00e4schegesetz verzichtet bewusst auf eine feste Grenze f\u00fcr die Verdachtsmeldung: Gemeldet wird, was auf Geldw\u00e4sche oder Terrorismusfinanzierung hindeutet, risikobasiert und zeitnah. Der Preis dieser Logik ist eine hohe Zahl an Meldungen, von denen viele ins Leere laufen, ein Punkt, auf den die Bilanz weiter unten zur\u00fcckkommt.<\/p> KuCoin wurde 2017 gegr\u00fcndet und wuchs in einem bestimmten Segment schnell: Nutzer, die ohne Umwege handeln wollten, oft an jungen oder exotischen Token interessiert, die auf streng regulierten Plattformen gar nicht gelistet waren. Das Versprechen, keine Identit\u00e4t preisgeben zu m\u00fcssen, war dabei kein Nebeneffekt, sondern laut Anklage Teil des Wachstumsmodells. Bis etwa Juli 2023 verlangte die B\u00f6rse von neuen Kunden keinerlei Ausweisdokumente, und in der Au\u00dfendarstellung warben Mitarbeiter offen damit, dass es kein KYC-Programm gebe (BleepingComputer<\/a>). F\u00fcr ein Publikum, das Diskretion sch\u00e4tzte, war genau das der Reiz.<\/p> Erst unter wachsendem Regulierungsdruck vollzog die B\u00f6rse die Kehrtwende. Ende Juni 2023 k\u00fcndigte KuCoin an, ab dem 15. Juli 2023 f\u00fcr alle neu registrierten Nutzer eine verpflichtende Identit\u00e4tspr\u00fcfung mit Foto-Ausweis und Gesichtserkennung einzuf\u00fchren; der damalige CEO Johnny Lyu begr\u00fcndete das mit der Anpassung an weltweite regulatorische Anforderungen (Business Wire<\/a>). Das Entscheidende aus Sicht der US-Ermittler: Die Pflicht galt nur f\u00fcr Neukunden. Die Millionen Bestandskonten, \u00fcber die jahrelang ungepr\u00fcft Geld geflossen war, blieben zun\u00e4chst au\u00dfen vor. Eine Identit\u00e4tspr\u00fcfung, die erst nach Jahren und nur nach vorne wirkt, schlie\u00dft die T\u00fcr nicht, sie lehnt sie nur an.<\/p> Das ist der Unterschied zu einem Fall wie OKX, bei dem Kontrollen auf dem Papier existierten, aber nicht wirksam arbeiteten, eine Papier-KYC. Bei KuCoin fehlte die H\u00fcrde \u00fcber Jahre schlicht ganz, und ihre Abwesenheit war ein Verkaufsargument. Beide Enden f\u00fchren zum selben Ergebnis, aber KuCoin zeigt den Extremfall: KYC nicht als l\u00e4stige Pflicht, die man schludrig erf\u00fcllt, sondern als bewusst weggelassene Funktion, die man Nutzern als Freiheit anpries.<\/p> Fairerweise geh\u00f6rt zur Geschichte, dass viele Nutzer keine Kriminellen waren, sondern schlicht ihre Daten nicht bei einer B\u00f6rse hinterlegen wollten, ein nachvollziehbares Anliegen in einer Branche, die regelm\u00e4\u00dfig gehackt wird. Genau diese Spannung macht die Debatte schwer: Datenschutz und Geldw\u00e4schepr\u00e4vention ziehen in entgegengesetzte Richtungen. Der Gesetzgeber hat sie eindeutig aufgel\u00f6st: Wer ein reguliertes Finanzgesch\u00e4ft betreibt, muss seine Kunden kennen; das Recht auf Privatsph\u00e4re endet dort, wo das Finanzsystem vor Missbrauch gesch\u00fctzt werden soll. KuCoins Fehler war nicht, Privatsph\u00e4re zu sch\u00e4tzen, sondern eine lizenzpflichtige T\u00e4tigkeit ohne die dazugeh\u00f6rigen Pflichten auszu\u00fcben.<\/p> Die Zahlen, die das Justizministerium vorlegte, zeigen, warum die fehlende Identit\u00e4tspr\u00fcfung kein Kavaliersdelikt war. Nach Darstellung der Beh\u00f6rden floss \u00fcber KuCoin Geld aus eindeutig kriminellen Quellen: Die B\u00f6rse empfing rund 5,39 Milliarden US-Dollar und versendete etwa 4,09 Milliarden US-Dollar an Mitteln, die mit illegalen Aktivit\u00e4ten in Verbindung standen, von Darknet-Marktpl\u00e4tzen \u00fcber Ransomware und Schadsoftware bis zu Betrugsmaschen und Sanktionsverst\u00f6\u00dfen (BleepingComputer<\/a>). In Summe bewegte die Plattform damit Milliardenbetr\u00e4ge aus verd\u00e4chtigen Quellen, ohne jene H\u00fcrde, die genau das h\u00e4tte auffallen lassen sollen.<\/p> Besonders heikel ist der Sanktionsbezug. Wenn eine B\u00f6rse nicht wei\u00df, wer ihre Kunden sind, kann sie auch nicht ausschlie\u00dfen, dass sie Gelder von sanktionierten Adressen oder aus sanktionierten Jurisdiktionen bewegt, ein eigener, scharf verfolgter Versto\u00df, der in den USA unter das OFAC-Regime f\u00e4llt. Genau hier wird die fehlende Identit\u00e4tspr\u00fcfung von einem Compliance-Mangel zu einem au\u00dfenpolitischen Risiko: Ohne KYC gibt es kein Sanktionsscreening, und ohne Sanktionsscreening wird jede Plattform zur potenziellen Umgehungsroute.<\/p> Danielle R. Sassoon, zum Zeitpunkt des Schuldeingest\u00e4ndnisses US-Staatsanw\u00e4ltin f\u00fcr den S\u00fcdbezirk von New York, fasste den Vorwurf knapp zusammen: „KuCoin avoided implementing required anti-money laundering policies designed to identify criminal actors and prevent illicit transactions“<\/em> (CoinDesk<\/a>). \u00dcbersetzt: Die B\u00f6rse habe die vorgeschriebenen Ma\u00dfnahmen bewusst nicht umgesetzt, die kriminelle Akteure h\u00e4tten erkennen und illegale Transaktionen h\u00e4tten verhindern sollen. Es ist eine Feststellung \u00fcber Vorsatz, nicht \u00fcber Nachl\u00e4ssigkeit.<\/p> Diese Art von Geldfluss ist kein Einzelfall, sondern das Umfeld, in dem Kryptob\u00f6rsen operieren. Ein erheblicher Teil der nachverfolgten kriminellen Erl\u00f6se stammt heute aus Betrug und Erpressung, und die W\u00e4scher nutzen bevorzugt dieselben liquiden Kan\u00e4le wie alle anderen. Welche Rolle organisierte Betrugsnetzwerke dabei spielen, hat diese Redaktion zuletzt am Beispiel der sogenannten Scam-Compounds<\/a> nachgezeichnet, deren Erl\u00f6se zu gro\u00dfen Teilen \u00fcber Stablecoins und B\u00f6rsen gewaschen werden. Eine B\u00f6rse ohne Identit\u00e4tspr\u00fcfung ist f\u00fcr solche Netzwerke kein Hindernis, sondern eine Einladung.<\/p> Am 27. Januar 2025 bekannte sich Peken Global Limited, die Betreibergesellschaft hinter KuCoin, vor dem Bundesgericht in Manhattan schuldig, ein unerlaubtes Geldtransfergesch\u00e4ft betrieben zu haben (US-Justizministerium<\/a>). Die Einigung umfasste rund 297 Millionen US-Dollar, umgerechnet gut eine Viertelmilliarde Euro: eine Einziehung von 184,5 Millionen Dollar plus eine Strafe von etwa 112,9 Millionen Dollar. Bemerkenswert ist die H\u00f6he der Einziehung, denn sie entsprach fast genau den Geb\u00fchren, die KuCoin von seinen rund 1,5 Millionen US-Kunden eingenommen hatte. Der Gewinn aus dem unregulierten Gesch\u00e4ft wurde also abgesch\u00f6pft.<\/p> Die beiden Gr\u00fcnder, Chun „Michael“ Gan und Ke „Eric“ Tang, beide chinesische Staatsb\u00fcrger, schlossen Vereinbarungen \u00fcber eine zur\u00fcckgestellte Strafverfolgung, gaben zusammen rund 2,7 Millionen Dollar ab und zogen sich aus der operativen F\u00fchrung zur\u00fcck (CoinDesk<\/a>). Vor allem aber verpflichtete sich KuCoin, den US-Markt f\u00fcr mindestens zwei Jahre vollst\u00e4ndig zu verlassen. Eine der nach Nutzerzahlen zeitweise gr\u00f6\u00dften B\u00f6rsen der Welt verschwand damit aus dem wichtigsten Markt, und zwar nicht wegen eines juristischen Grenzfalls, sondern wegen einer fehlenden Identit\u00e4tspr\u00fcfung.<\/p> F\u00fcr die betroffenen Nutzer war der R\u00fcckzug mehr als eine Schlagzeile. Wer Guthaben auf der Plattform hielt, musste es abziehen oder auf andere Anbieter migrieren, und der Fall reihte sich in eine Serie ein, die Anlegern vor Augen f\u00fchrte, wie schnell der Zugang zu einer Offshore-B\u00f6rse enden kann. Zugleich sendete die Einigung ein Signal an die Branche: Das Justizministerium behandelte die fehlende Identit\u00e4tspr\u00fcfung nicht als technische Lappalie, sondern als Kern des Delikts. Wer eine B\u00f6rse baut, baut ein Finanzinstitut, mit allen Pflichten, die dazugeh\u00f6ren.<\/p> Legt man den KuCoin-Fall \u00fcber die f\u00fcnf AML-S\u00e4ulen, wird sichtbar, dass nicht ein Detail fehlte, sondern das Fundament. Die folgende \u00dcbersicht stellt die Anforderungen des US-Rechts den dokumentierten L\u00fccken gegen\u00fcber.<\/p>KYC und AML: zwei Begriffe, ein Kontrollsystem<\/h2>
Wer zust\u00e4ndig ist, und wer nicht<\/h2>
Keine Ausweispflicht als Gesch\u00e4ftsmodell<\/h2>
Was durch KuCoin floss<\/h2>
Das Schuldeingest\u00e4ndnis: 297 Millionen und der R\u00fcckzug<\/h2>
Die f\u00fcnf S\u00e4ulen und KuCoins L\u00fccken<\/h2>