Globale AML/CFT-Standards und Regulierungsrahmen · Lektion 2 von 5
Empfehlung 15 und ihre Auslegungsnote
9 Min. Lesezeit
Empfehlung 15 ist der Grund, warum Kryptounternehmen überhaupt Verpflichtete sind. Ihre Auslegungsnote ist kurz, doch jeder Absatz wird zu einer konkreten Pflicht: einem Lizenzantrag, einer aufsichtsrechtlichen Prüfung, einer niedrigeren Sorgfaltspflichtschwelle oder einer Sanktion gegen ein Mitglied der Geschäftsleitung. Eine Compliance-Beauftragte oder ein Compliance-Beauftragter, die oder der eine nationale Regel dem Absatz zuordnen kann, den sie umsetzt, kann erkennen, was einen globalen Mindeststandard darstellt, was eine nationale Ergänzung ist und was eine prüfende Stelle kontrollieren wird.
Zwei Teile einer Empfehlung
Empfehlung 15 (Neue Technologien) besteht aus zwei Teilen. Der ältere erste Teil verpflichtet Länder und Finanzinstitute, die Geldwäsche- und Terrorismusfinanzierungsrisiken neuer Produkte, Geschäftspraktiken, Bereitstellungsmechanismen und Technologien zu ermitteln und zu bewerten. Außerdem müssen Institute diese Risiken vor der Einführung bewerten und Maßnahmen zu ihrer Steuerung ergreifen. Der zweite Teil, der im Oktober 2018 hinzugefügt wurde, verpflichtet Länder sicherzustellen, dass Dienstleister für virtuelle Vermögenswerte (VASPs) für AML/CFT-Zwecke reguliert, zugelassen oder registriert und wirksamen Systemen zur Überwachung der Einhaltung unterworfen werden.
Die erste Hälfte gilt auch für VASPs. Einen neuen Token listen, eine Blockchain hinzufügen, Staking einführen oder ein Netzwerk von Krypto-Geldautomaten eröffnen – all das sind neue Produkte oder Technologien. Eine Aufsichtsbehörde wird daher die Risikobewertung sehen wollen, die vor der Einführung vorgenommen wurde.
Die Auslegungsnote zu Empfehlung 15 (INR.15), die im Juni 2019 angenommen und seither geändert wurde (einschließlich entsprechender Änderungen im Februar 2025), enthält die Einzelheiten. Wer als VASP gilt und was nicht unter die Definition fällt, wird in der Lektion Der VASP als Verpflichteter behandelt.
INR.15 Absatz für Absatz
| Absatz | Anforderung | Adressat |
|---|---|---|
| 1 | Virtuelle Vermögenswerte gelten als „Eigentum“, „Erträge“, „Gelder“, „Gelder oder sonstige Vermögenswerte“ und „entsprechender Wert“. Daher gilt jede Empfehlung für sie, einschließlich Einziehung und Einfrieren | Länder |
| 2 | Risiken virtueller Vermögenswerte ermitteln, bewerten und verstehen und einen risikobasierten Ansatz anwenden; VASPs müssen ihre eigenen Risiken ermitteln, bewerten und mindern | Länder und VASPs |
| 3 | VASPs zulassen oder registrieren, mindestens dort, wo sie gegründet werden; Kriminelle und ihre Komplizen daran hindern, sie zu besitzen, zu kontrollieren oder zu leiten; Personen ermitteln und sanktionieren, die ohne Zulassung oder Registrierung VASP-Tätigkeiten ausüben | Länder |
| 4 | Für bereits zugelassene oder registrierte Finanzinstitute, die VASP-Tätigkeiten ausüben dürfen und den vollständigen FATF-Pflichten unterliegen, ist keine gesonderte VASP-Zulassung oder -Registrierung erforderlich | Länder |
| 5 | Risikobasierte Beaufsichtigung oder Überwachung durch eine zuständige Behörde, nicht durch eine Selbstregulierungsorganisation, mit Befugnissen zur Prüfung, zur Anforderung von Informationen und zur Verhängung von Sanktionen, einschließlich des Entzugs, der Beschränkung oder der Aussetzung einer Zulassung | Länder und Aufsichtsbehörden |
| 6 | Wirksame, verhältnismäßige und abschreckende Sanktionen (strafrechtliche, zivilrechtliche oder verwaltungsrechtliche), die für VASPs sowie deren Geschäftsleitung und höhere Führungskräfte gelten | Länder |
| 7 | Präventivmaßnahmen der Empfehlungen 10 bis 21 gelten mit Einschränkungen: (a) eine Schwelle von USD/EUR 1.000 für die Sorgfaltspflicht bei gelegentlichen Transaktionen; (b) die Travel Rule | VASPs und Finanzinstitute, die Übertragungen virtueller Vermögenswerte senden oder empfangen |
| 8 | Möglichst umfassende internationale Zusammenarbeit; Aufsichtsbehörden tauschen unabhängig von Art, Status oder verwendeter Bezeichnung von VASPs Informationen mit ausländischen Amtskollegen aus | Länder und Aufsichtsbehörden |
Absatz 7(b), die Travel Rule, wird ausführlich in der Lektion Empfehlung 16 für virtuelle Vermögenswerte behandelt.
Zulassung und Registrierung
Absatz 3 der INR.15 legt den Mindeststandard fest: Ein VASP, der eine juristische Person ist, muss in dem Hoheitsgebiet zugelassen oder registriert werden, in dem er gegründet wurde; die FATF-Leitlinien verstehen darunter den Ort der Gründung. Bei einer natürlichen Person ist es der Ort ihrer Geschäftstätigkeit. Länder können außerdem verlangen, dass VASPs zugelassen werden, wenn sie Kunden in ihrem Hoheitsgebiet Produkte oder Dienstleistungen anbieten oder von dort aus tätig sind. Absatz 4 erspart Finanzinstituten, die bereits zugelassen sind und VASP-Tätigkeiten ausüben dürfen, eine zweite Zulassung. Die FATF erkennt auch an, dass ein Land VASP-Tätigkeiten verbieten kann, sofern es dennoch diejenigen ermittelt und sanktioniert, die sie trotzdem ausüben.
Absatz 3 enthält auch eine Eignungsprüfung: Die Behörden müssen Kriminelle oder ihre Komplizen daran hindern, eine wesentliche oder kontrollierende Beteiligung zu halten, wirtschaftliche Eigentümer zu sein oder eine Führungsfunktion auszuüben. Außerdem verpflichtet er die Behörden, nicht zugelassene Betreiber zu ermitteln und zu sanktionieren.
Ein durchgearbeitetes Beispiel. Ein fiktiver VASP namens Kestrel ist in Land X gegründet, betreibt sein operatives Team von Land Y aus und vermarktet seine Dienstleistungen an Privatkunden in Land Z.
- Land X muss Kestrel zulassen oder registrieren: Das ist der Mindeststandard nach Absatz 3.
- Land Y kann eine Zulassung verlangen, weil Kestrel von seinem Hoheitsgebiet aus tätig ist.
- Land Z kann eine Zulassung verlangen, weil Kestrel seinen Einwohnern Dienstleistungen anbietet.
- Wenn Kestrel nur eine Zulassung in Land X besitzt, muss es prüfen, ob Y und Z ihre optionalen Befugnisse als Gastland nutzen. Eine erhebliche Minderheit der Hoheitsgebiete tut dies.
Das Compliance-Team hält jede Schlussfolgerung, ihre Rechtsgrundlage und das Überprüfungsdatum fest. Die Lektion Wie nationale Regelungen den Standard umsetzen zeigt, wie diese Dokumentation für viele Länder geführt werden kann.
Beaufsichtigung und Sanktionen
Die Absätze 5 und 6 legen fest, was nach der Zulassung geschieht. Die Beaufsichtigung muss risikobasiert sein und von einer zuständigen Behörde mit tatsächlichen Befugnissen ausgeübt werden: Prüfungen, die Anforderung von Informationen und eine Reihe disziplinarischer und finanzieller Sanktionen bis hin zum Entzug der Zulassung. Sanktionen müssen auch Mitglieder der Geschäftsleitung und höhere Führungskräfte treffen, nicht nur das Unternehmen. Prüfende Stellen untersuchen beide Absätze bei der Wirksamkeitsprüfung der Beaufsichtigung und der Präventivmaßnahmen (IO.3 gemäß Methodologie 2022) und achten auf Belege dafür, dass Prüfungen stattfinden und Sanktionen tatsächlich verhängt werden. Wie Aufsichtsbehörden dabei vorgehen, wird in der Lektion Beaufsichtigung, Prüfungen und Durchsetzung behandelt.
Präventivmaßnahmen mit VASP-spezifischen Einschränkungen
Absatz 7 wendet die Empfehlungen 10 bis 21 auf VASPs an. Die Tabelle zeigt, wie sich die einzelnen Empfehlungen in einem Kryptoprogramm niederschlagen.
| Empfehlung | Anwendung auf VASPs |
|---|---|
| R.10 Sorgfaltspflicht gegenüber Kunden | Immer bei Geschäftsbeziehungen; bei gelegentlichen Transaktionen ab USD/EUR 1.000 (für andere Finanzinstitute liegt die Schwelle für gelegentliche Transaktionen bei USD/EUR 15.000); immer bei Verdacht oder Zweifeln an früheren Angaben |
| R.11 Aufbewahrung von Aufzeichnungen | Mindestens fünf Jahre, einschließlich Transaktionsaufzeichnungen wie Wallet-Adressen und txids, damit Transaktionen rekonstruiert werden können |
| R.12 Politisch exponierte Personen | Überprüfung und verstärkte Maßnahmen wie bei jedem Finanzinstitut |
| R.13 Korrespondenzbankbeziehungen | Die FATF wendet dies auf grenzüberschreitende VASP-Beziehungen an, die Korrespondenzbankbeziehungen ähneln: Sorgfaltspflichten gegenüber der Gegenpartei, bevor Daten oder Gelder ausgetauscht werden |
| R.15 Neue Technologien | Risikobewertung vor der Einführung von Produkten, Tokens oder Blockchains |
| R.16 Transparenz bei Zahlungen | Die Travel Rule gemäß Absatz 7(b) |
| R.17 und R.18 | Rückgriff auf Dritte; interne Kontrollen und gruppenweite Programme, einschließlich ausländischer Zweigstellen |
| R.19 Länder mit höherem Risiko | Verstärkte Sorgfaltspflichten und Gegenmaßnahmen, wenn die FATF dazu aufruft |
| R.20 und R.21 | Verdachtsmeldungen, auch bei versuchten Transaktionen; Verbot der Offenlegung von Verdachtsmeldungen |
Gezielte finanzielle Sanktionen gemäß R.6 und R.7 gelten für VASPs ebenso wie für alle anderen Personen. Deshalb gehört das unverzügliche Einfrieren benannter Vermögenswerte in jedes VASP-Programm.
Die aktualisierten Leitlinien vom Oktober 2021
Die FATF veröffentlichte am 28. Oktober 2021 die Aktualisierten Leitlinien für einen risikobasierten Ansatz bei virtuellen Vermögenswerten und Dienstleistern für virtuelle Vermögenswerte und ersetzte damit ihre Leitlinien vom Juni 2019. Sie sind nicht verbindlich, werden aber von prüfenden Stellen und Aufsichtsbehörden herangezogen. Sie aktualisierten sechs Bereiche:
- Klarstellung der Definitionen virtueller Vermögenswerte und von VASPs (einschließlich der Frage, wann NFTs und DeFi-Vereinbarungen in den Anwendungsbereich fallen);
- Anwendung der FATF-Standards auf Stablecoins, einschließlich ihrer zentralen Leitungsorgane;
- Risiken von Peer-to-Peer-Transaktionen und Instrumente zu ihrer Bewältigung;
- Zulassung und Registrierung von VASPs;
- Umsetzung der Travel Rule durch den öffentlichen und privaten Sektor;
- Grundsätze des Informationsaustauschs und der Zusammenarbeit zwischen VASP-Aufsichtsbehörden.
Für ein Compliance-Team schlagen sich die Bereiche 3 bis 5 am unmittelbarsten in Kontrollen nieder: risikobasierte Behandlung von Übertragungen an und von nicht gehosteten Wallets, Nachweise für Zulassungsanträge und Prüfungen von Gegenparteien sowie ein Verfahren zur Umsetzung der Travel Rule. Bereich 6 erklärt, warum die Feststellungen einer Aufsichtsbehörde zu einem VASP eine andere Aufsichtsbehörde schnell erreichen können.
Gezielte Aktualisierungen: die Umsetzungslücke
Die Länder setzten die Vorgaben nur langsam um. Die FATF führte zwei Überprüfungen über jeweils 12 Monate durch (2020 und 2021) und veröffentlicht seit 2022 jährlich gezielte Aktualisierungen. Im Februar 2023 verabschiedete sie einen Fahrplan zur Stärkung der Umsetzung von R.15. Seit 2024 veröffentlicht sie eine Tabelle zum Stand der Umsetzung von R.15 in FATF-Mitgliedern und Hoheitsgebieten mit wesentlichen VASP-Aktivitäten.
Die siebte gezielte Aktualisierung (Juli 2026) und ein gezielter Bericht zu dezentraler Finanzwirtschaft (Juli 2026) verwiesen auf:
- eine Lücke zwischen der Verabschiedung von Gesetzen zur Travel Rule und ihrer Beaufsichtigung und Durchsetzung;
- anhaltende Lücken bei der Überführung von Risikobewertungen in Maßnahmen zur Risikominderung, bei der praktischen Umsetzung von Zulassungen und bei der Ermittlung nicht zugelassener und im Ausland ansässiger VASPs;
- sehr wenige Hoheitsgebiete, die den Standard auf DeFi-Vereinbarungen anwenden, die als VASPs einzustufen sind;
- die Empfehlung, dass Finanzinstitute und VASPs nicht mit einer DeFi-Vereinbarung interagieren, wenn sie die einschlägigen Empfehlungen nicht einhalten können.
Die praktische Folge ist eine uneinheitliche Welt. Ein in einem streng regulierten Hoheitsgebiet zugelassener VASP wird mit Gegenparteien zusammenarbeiten, die anderswo zugelassen sind, und mit einigen, die nirgendwo zugelassen sind. Daher sind die Sorgfaltspflichten gegenüber Gegenparteien und risikobasierte Beschränkungen ebenso wichtig wie die eigene Zulassung.
Prüfungsschwerpunkt: die beiden Teile von R.15 (Risikobewertung vor der Einführung neuer Produkte oder Technologien; Regulierung, Zulassung und Beaufsichtigung von VASPs); was INR.15 von Ländern, Aufsichtsbehörden und VASPs verlangt; die Zulassung mindestens dort, wo der VASP gegründet wird, die optionale Befugnis des Gastlands und die Eignungsprüfung; die Beaufsichtigung durch eine zuständige Behörde, nicht durch eine Selbstregulierungsorganisation, sowie Sanktionen, die Mitglieder der Geschäftsleitung und höhere Führungskräfte treffen; die Schwelle von USD/EUR 1.000 für die Sorgfaltspflicht bei gelegentlichen Transaktionen und die Anwendung der Empfehlungen 10 bis 21 auf VASPs; die sechs Bereiche der aktualisierten Leitlinien vom Oktober 2021; der Fahrplan vom Februar 2023 und der Zweck gezielter Aktualisierungen.