Geldwäsche(Compliance)risiken bei Wechsel von Crypto-Asset Service Provider

Hintergrund

Seit dem 1. Juli 2026 benötigen alle in der EU tätigen Anbieter von Kryptowerte-Dienstleistungen (Crypto-Asset Service Provider – CASP) eine Geschäftserlaubnis nach der Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (Markets in Crypto-Assets Regulation – MiCAR). Bis dahin lief eine Übergangszeit, in der einzelne Anbieter noch mit in der Vergangenheit erteilten, rein nationalen Erlaubnissen tätig sein konnten. Seit dem 1. Juli 2026 ist dies EU-weit einheitlich nur noch mit einer MiCAR-Erlaubnis möglich.

CASPs, die zum Stichtag über keine entsprechende Erlaubnis verfügen, dürfen ihre Dienstleistungen in der EU nicht mehr anbieten. Sie verlieren ihre bisherige, nach altem Recht erteilte Geschäftserlaubnis und wechseln zum Stichtag in den Status eines nicht lizensierten Dienstleisters, dem das Erbringungen von Kryptowerte-Dienstleistungen nicht gestattet ist. Besonders prominent ist der Fall der weltweit größten Krypto-Börse Binance, die ohne entsprechende MiCAR-Erlaubnis zum Stichtag 1. Juli 2026 den uneingeschränkten Zugang zum Markt der Europäischen Union verloren hat.

Für die Kunden dieser von heute auf morgen nicht (mehr) lizensierten Dienstleister bedeutet der Lizenzverlust unmittelbare Einschränkungen (keine Inanspruchnahme von Kryptowerte-Dienstleistungen, also kein Handel, kein Transfer usw.). Das führt zur erwartbaren und umfassenden Migration ganzer Kunden- und Assetbestände, die sich von den nicht (mehr) lizensierten Dienstleistern lösen und zur lizensierten Konkurrenz abwandern.

Gemeinsame Warnung der BaFin und der FIU

Vor diesem Hintergrund haben die BaFin und die FIU in einer gemeinsamen Erklärung vor mit diesem Anbieterwechsel verbundenen Geldwäscherisiken gewarnt. Noch präziser müsste dabei aber eigentlich von einer Warnung vor Geldwäsche-COMPLIANCE-Risiken die Rede sein– die BaFin und die FIU adressieren ausdrücklich die kunden- und assetübernehmenden Dienstleister und weisen darauf hin, dass „die Übernahme solcher Kundenbestände den aufnehmenden CASP nicht von der Pflicht zur Erfüllung der ihm obliegenden geldwäscherechtlichen Anforderungen entbindet“.

In die Sprache der geldwäscherechtlichen Kundensorgfaltspflichten übersetzt, bedeutet das: Mit der Übernahme von Kunden (und deren Vermögenswerten) wird mit dem einzelnen Kunden ganz regelmäßig eine Geschäftsbeziehung im geldwäscherechtlichen Sinne begründet, sodass die Kundensorgfaltspflichten (§§ 10 ff. GwG) zu erfüllen sind. Dazu gehört im Rahmen des erstmaligen Onboardings insbesondere, den Kunden zu identifizieren, etwaige wirtschaftliche Berechtigte festzustellen, den sog. PeP-Status abzuklären, Art und Zweck der Geschäftsbeziehung zu ergründen und den Kunden einer Risikoklassifizierung zu unterziehen, die über die Umfang und die Intensität der Kundensorgfaltspflichten entscheidet. Die Geschäftsbeziehung zu einmal angenommene Kunden muss wiederum kontinuierlich überwacht (inkl. Transaktionsmonitoring) und die Daten und Unterlagen aktuell gehalten werden.

Herausforderungen

Das Onboarding großer Kundenzahlen oder sogar die Übernahme ganzer Kundenbestände lässt sich auch unter strenger Wahrung der Kundensorgfaltspflichten technisch und rechtlich einwandfrei umsetzen. Im Falle von gesamthaften Kundenbestandsübernahmen bietet die sog. Reliance (§ 17 Abs. 1-4 GwG) sogar einen rechtlichen Rahmen zur Weitergabe bestimmter Kundenidentifikationsdatensätze vom abgebenden an den aufnehmenden CASP. Kernvoraussetzung für eine lückenlose Erfüllung der Kundensorgfaltspflichten ist in jedem Fall die Qualität der Prozesse und Systeme auf Seiten des aufnehmenden Dienstleisters, der im Ergebnis nachvollziehbar und auf Einzelkundenbasis sicherstellen muss, im Übernahme- und Onboardingprozess jede Detailpflicht mitbedacht und erfüllt zu haben.

Konkret weisen die BaFin und die FIU darauf hin, dass der aufnehmende CASP die Kundensorgfaltspflichten auf Grundlage einer eigenen risikobasierten Bewertung zu erfüllen hat – eine bloße oder schematische Übernahme der Risikoeinstufung des abgebenden Dienstleisters reicht hierfür nicht aus.

Auch die AMLA hat kurz vor Ablauf der Übergangsfrist am 29. Juni 2026 einen vergleichbaren Risikohinweis veröffentlicht und hebt zusätzlich die folgenden Risikofaktoren hervor:

• In der kritischen Phase kurz vor Ablauf der Übergangsfrist könnten die AML-Kontrollen bei den abgebenden Dienstleistern ggf. vernachlässigt und geschwächt gewesen sein. Dies gilt insbesondere für Unternehmen, bei denen zuvor Mängel im AML-Bereich festgestellt wurden.
• Plötzliche Marktaustritte können die Transparenz der Vermögensströme und Kundenbeziehungen beeinträchtigen und damit Möglichkeiten zur Verschleierung, zur raschen Bewegung illegaler Gelder und zur Umgehung von Sanktionen schaffen.

Mit Blick auf die Compliance-System der aufnehmenden CASP warnt die AMLA vor möglichen Überforderungen angesichts starker Neukundenzuwächse:

• Die schlagartige Annahme vieler Neukunden bzw. sogar die gesamthafte Übernahme ganzer Kundenportfolios kann – je nach inhaltlicher Bewertung der darin befindlichen Kundengruppen – zu grundlegenden Risikoprofiländerungen führen. Dazu gehört auch eine mögliche und plötzliche Konzentration von High-Risk-Kunden, die das Gesamtkundenprofil der aufnehmenden CASPs verschieben kann.
• Ein rascher Zustrom von Kunden kann die Transaktionsmonitoring-Systeme und die für ihren Betrieb benötigten Ressourcen überfordern.

Fazit

Die Klarstellung seitens BaFin und FIU dürfte ihren Erfahrungen der letzten Jahre geschuldet sein: Einzelne Anbieter hatten sich hier (teilweise auf Drängen der Aufsichtsbehörden) aus dem europäischen Markt zurückgezogen und dabei ihre Kunden- und Assetbestände in großen Chargen auf verbleibende CASPs übertragen. Die aufnehmenden CASPs sahen sich dabei vor die Herausforderung gestellt, die Kundensorgfaltspflichten für eine Vielzahl an Neukunden in kürzester Zeit technisch und rechtlich sauber zu erfüllen.

Aufnehmende CASPs müssen sich mit den technischen und (geldwäsche-)rechtlichen Herausforderungen entsprechender Kundenmigrationen im Einzelnen auseinandersetzen und den jeweiligen Impact auf die betroffenen Organisationseinheiten kritisch und ehrlich bewerten; etwa im Rahmen eines „Neu-Produkt-Prozess-light“. Das gilt gleichermaßen für die betroffenen Prozesse der 1stLoD (Kundenannahme, Kundendatenverwaltung etc.) als auch für die neuralgischen Punkten in der 2ndLoD (Bearbeitung eines erhöhten Trefferaufkommens im Transaktionsmonitoring und Listen-Screening, Stellungnahmen zu geldwäscherelevanten Edge Cases aus dem Kundenonboarding, manueller Mehraufwand bei der ggf. häufigeren Erfüllung verstärkter Sorgfaltspflichten usw.).