Wie nationale Regelungen den Standard umsetzen

Die FATF verfasst einen Standard, aber ein VASP wird nach nationalen Gesetzen beaufsichtigt, die ihn auf unterschiedliche Weise umsetzen. Ein Unternehmen, das Kunden in mehreren Ländern bedient, muss wissen, welche Pflichten überall gelten, wo sich die Länder unterscheiden und welche Regel Vorrang hat, wenn zwei davon miteinander kollidieren. Diese Lektion vermittelt die gemeinsamen Grundbausteine, die typischen Abweichungen und eine wiederholbare Methode, um AML/CFT-Pflichten länderübergreifend zu erfassen.

Vom Standard zur nationalen Regelung

Die FATF-Standards binden Länder, nicht Unternehmen. Ein Land setzt sie auf drei Ebenen um, die Prüfer unterschiedlich gewichten:

• Gesetz: von der Legislative verabschiedete Gesetze, die Straftatbestände, Befugnisse und die wichtigsten Pflichten festlegen.
• Durchsetzbare Mittel: Verordnungen, Regeln oder verbindliche Anweisungen einer zuständigen Behörde, deren Verstöße sanktioniert werden. Die FATF akzeptiert, dass viele Präventivmaßnahmen auf dieser Ebene angesiedelt sind.
• Leitlinien: aufsichtsrechtliche Leitlinien, FAQs und Typologiepapiere, die Erwartungen erläutern, selbst aber nicht durchsetzbar sind.

Ein Compliance-Beauftragter benötigt alle drei. Das Gesetz sagt, was erforderlich ist, durchsetzbare Mittel geben in der Regel vor, wie es umzusetzen ist, und Leitlinien zeigen, worauf die Aufsicht bei einer Prüfung achten wird.

Die FATF lässt den Ländern echte Wahlmöglichkeiten: ob sie VASPs lizenzieren, registrieren oder verbieten; ob sie von ausländischen VASPs, die Kunden in ihrem Hoheitsgebiet bedienen, eine Lizenz verlangen; welche Behörde die Aufsicht ausübt; und ob sie die optionalen Schwellenwerte im Standard nutzen. Diese Entscheidungen verursachen den Großteil der Unterschiede zwischen den Regelungen.

Die gemeinsamen Grundbausteine

Unabhängig von ihrer Bezeichnung bestehen AML/CFT-Regelungen für VASPs aus denselben Bausteinen, die sich jeweils auf einen Teil des Standards zurückführen lassen.

Da jeder Baustein einen Anker in den FATF-Standards hat, kann ein Unternehmen den Standard als gemeinsames Grundgerüst nutzen und die Einzelheiten der jeweiligen Länder daran anfügen.

Typische Unterschiede zwischen Regelungen

Die Unterschiede bündeln sich in einer vorhersehbaren Gruppe von Parametern:

• Regulierungsansatz: vollständige Lizenzierung, ausschließlich AML-bezogene Registrierung oder Verbot. Die FATF erlaubt Verbote, warnt aber in ihrer gezielten Aktualisierung von 2026 davor, dass ein nicht durchgesetztes Verbot die Aktivitäten unbeaufsichtigt lässt.
• Erfassung ausländischer VASPs: Manche Länder lizenzieren nur lokal gegründete Unternehmen; andere verlangen eine Lizenz von allen, die ihre Einwohner bedienen.
• Schwellenwert und Daten der Travel Rule: kein Schwellenwert, der De-minimis-Wert der FATF von 1.000 USD/EUR oder ein anderer Betrag; vollständige oder reduzierte Daten darunter; Frage, ob Absenderdaten überprüft werden müssen.
• Selbstverwahrte Wallets: nur die Gegenpartei erfassen, die Eigentümerschaft oberhalb eines Schwellenwerts überprüfen oder Überweisungen beschränken.
• DeFi und andere Randbereiche: ob DeFi-Konstellationen, NFT-Plattformen, Stablecoin-Emittenten oder Betreiber von Krypto-Geldautomaten in den Geltungsbereich fallen.
• Meldungen: Fristen und Formate für Verdachtsmeldungen sowie die Frage, ob schwellenwertbasierte Meldungen vorgesehen sind.
• Aufbewahrung und Daten: längere Aufbewahrung als fünf Jahre, Datenlokalisierung und Datenschutzvorschriften, die den Datenaustausch einschränken.
• Sanktionslisten: überall die UN-Listen sowie die autonomen Listen der jeweiligen Länder.

Beispielsweise hat die EU den Standard durch unionsweite Verordnungen umgesetzt, die Lizenzierung und Kryptotransfers gemeinsam abdecken, während sich die USA auf bundesstaatliche Regeln für Geldtransfers in Kombination mit Lizenzierungen auf Ebene der Bundesstaaten stützen. Viele andere Rechtsordnungen betreiben eigene VASP-Regelungen, darunter Brasilien, Kanada, Hongkong, Japan, Singapur, Südafrika, Südkorea, die Schweiz und die Vereinigten Arabischen Emirate. Jedes dieser Länder trifft eigene Entscheidungen zu den oben genannten Parametern.

Eine Methode zur länderübergreifenden Erfassung von Pflichten

Ein Pflichtenregister beantwortet eine andere Frage als eine Lizenzübersicht: nicht „Dürfen wir dieses Land bedienen?“, sondern „Was genau müssen wir für Kunden dort tun, und wie können wir es nachweisen?“. Es lässt sich in fünf Schritten erstellen.

1. Ausgangsbasis erstellen. Führen Sie die Pflichten aus den FATF-Standards auf und versehen Sie jede mit einer Kennung, die an ihre Quelle gebunden ist (zum Beispiel R10-OCC für die Sorgfaltspflichten bei gelegentlichen Transaktionen). Dieser Katalog ist in jedem Land derselbe.
2. Abweichungen der einzelnen Länder erfassen. Ordnen Sie für jeden Punkt der Ausgangsbasis die lokale Regel als gleich, strenger, weniger streng, zusätzlich (kein Äquivalent in den FATF-Standards) oder nicht vorhanden ein. Fügen Sie die Rechtsgrundlage, die Ebene (Gesetz, durchsetzbare Mittel oder Leitlinien) und das Inkrafttretensdatum hinzu.
3. Unternehmensstandard festlegen. Entscheiden Sie für jeden Punkt, ob ein globaler Standard, in der Regel die strengste lokale Regel, oder eine lokale Variante für ein Land angewendet werden soll. Ein globaler Standard ist einfacher umzusetzen und zu prüfen; eine lokale Variante kann durch Kosten, Auswirkungen auf Kunden oder einen Rechtskonflikt gerechtfertigt sein.
4. Kontrollen und Nachweise zuordnen. Verknüpfen Sie jeden Punkt mit der Kontrolle, die ihn umsetzt, ihrem Verantwortlichen, der Systemeinstellung (zum Beispiel einem Schwellenwert in der Travel-Rule-Engine) und den Nachweisen, die ein Prüfer anfordern würde.
5. Änderungen verwalten. Legen Sie für jedes Land ein Überprüfungsdatum fest und veranlassen Sie eine Überprüfung bei neuen Gesetzen, aufsichtsrechtlichen Leitlinien, Ergebnissen von FATF-Plenarsitzungen und neuen Produkten.

Zwei Faustregeln helfen bei Schritt 3. Wenn eine lokale Regel weniger streng als der FATF-Mindeststandard ist, etwa eine Aufbewahrungsfrist von weniger als fünf Jahren, wenden Sie trotzdem den Mindeststandard an: Gegenparteien, Banken und künftige Aufsichtsbehörden werden das Unternehmen daran messen. Wenn zwei Regeln miteinander kollidieren, zum Beispiel eine Datenlokalisierungspflicht mit einer konzernweiten Überwachung gemäß R.18, halten Sie den Konflikt fest, holen Sie Rechtsberatung ein und dokumentieren Sie die Lösung, statt stillschweigend eine der Regeln auszuwählen.

Durchgearbeitetes Beispiel: Länder A, B und C

Eine fiktive Börse namens Larkspur bedient Kunden in drei fiktiven Ländern.

Die Überlegungen hinter jeder Entscheidung werden dokumentiert. Vollständige Daten der Travel Rule überall zu übermitteln kostet wenig und macht eine länderspezifische Weiterleitung überflüssig. Die Überprüfung der Eigentümerschaft wird nur in Land C angewendet, da sie Kunden andernorts ohne entsprechende Pflicht zusätzliche Umstände bereiten würde. Das 24-Stunden-Ziel erfüllt alle Fristen, auch die strengste. Die Aufbewahrungsfrist von drei Jahren in Land B unterschreitet den FATF-Mindeststandard, daher bewahrt Larkspur auch Unterlagen von Kunden in B fünf Jahre lang auf.

Ein Registereintrag für einen Punkt könnte wie folgt aussehen:

{
  "obligation_id": "R11-RET",
  "baseline": "CDD- und Transaktionsunterlagen mindestens 5 Jahre lang aufbewahren",
  "country": "C",
  "delta": "stricter",
  "local_rule": "10 Jahre nach Ende der Geschäftsbeziehung",
  "layer": "law",
  "effective_date": "2025-01-01",
  "firm_standard": "local_variant",
  "control": "Auf das Konto eines in C ansässigen Kunden angewendete Aufbewahrungsrichtlinien-Kennzeichnung RET-10Y",
  "owner": "Leiter Daten-Governance",
  "evidence": ["retention_config_export", "quarterly_purge_log"],
  "next_review": "2027-01-31"
}

Der Eintrag verknüpft die lokale Regel mit ihrer FATF-Ausgangsbasis, beschreibt die Abweichung, benennt die Kontrolle und deren Verantwortlichen und führt die Nachweise auf, die ein Prüfer anfordern würde. Wenn Sie das Register nach delta filtern, sehen Sie schnell, wo sich das Unternehmen den lokalen Abweichungen gegenüber exponiert.

Prüfungsschwerpunkt: der Unterschied zwischen Gesetz, durchsetzbaren Mitteln und Leitlinien; die gemeinsamen Grundbausteine einer AML/CFT-Regelung für VASPs und ihre FATF-Quellen; die Parameter, bei denen sich Regelungen typischerweise unterscheiden (Regulierungsansatz, ausländische VASPs, Schwellenwert und Daten der Travel Rule, selbstverwahrte Wallets, Geltungsbereich von DeFi, Meldungen, Aufbewahrung, Sanktionslisten); die fünfstufige Methode aus Ausgangsbasis und Abweichungen für ein Pflichtenregister; die Wahl zwischen einem globalen Standard und einer lokalen Variante; die Anwendung des FATF-Mindeststandards, wenn eine lokale Regel weniger streng ist, sowie die Dokumentation von Regelkonflikten.