Globale AML/CFT-Standards und Regulierungsrahmen · Lektion 5 von 5
Aufsicht, Prüfungen und Durchsetzung
8 Min. Lesezeit
Das AML/CFT-Programm eines VASP wird letztlich von seiner Aufsichtsbehörde beurteilt und in den schlimmsten Fällen von der Staatsanwaltschaft. Wenn Compliance-Beauftragte wissen, wie Aufsichtsbehörden entscheiden, wen sie prüfen, welche Unterlagen sie anfordern und welche Versäumnisse zu den höchsten öffentlich bekannt gewordenen Strafen geführt haben, können sie Nachweise vorbereiten, bevor diese angefordert werden, und Schwachstellen beheben, bevor sie zu Feststellungen werden.
Risikobasierte Aufsicht
INR.15 Absatz 5 verlangt, dass VASPs von einer zuständigen Behörde beaufsichtigt werden, die über Befugnisse zur Prüfung, zur Anforderung von Informationen und zur Verhängung von Sanktionen verfügt. Die FATF Leitlinien für risikobasierte Aufsicht (4. März 2021) erläutern, wie dies umgesetzt werden soll: Aufsichtsbehörden sollten die Risiken jedes Sektors und jedes Unternehmens verstehen, ihre Ressourcen den höchsten Risiken zuweisen, die geeigneten Instrumente wählen und ihre Einschätzung aktualisieren, wenn sich Risiken ändern. Seit der Überarbeitung von R.1 im Februar 2025 müssen Aufsichtsbehörden auch die bereits von Unternehmen angewandten Minderungsmaßnahmen berücksichtigen, damit Unternehmen mit geringerem Risiko nicht übermäßig beaufsichtigt werden.
In der Praxis bewertet eine Aufsichtsbehörde jeden VASP hinsichtlich seines inhärenten Risikos (Kundenstamm, Produkte, Volumen, Risiken durch Hochrisikodienstleistungen und Länder) und der Qualität seiner Kontrollen, häufig anhand von Datenmeldungen und früheren Prüfungen. Die Kombination bestimmt, wie oft und wie eingehend das Unternehmen geprüft wird.
| Instrument | Was es ist | Wann es eingesetzt wird |
|---|---|---|
| Regelmäßige Datenmeldung | Standardisierte Zahlen, die jedes Unternehmen einreicht | Immer; fließt in das Risikomodell ein |
| Schreibtischprüfung | Prüfung von Dokumenten und Daten ohne Vor-Ort-Termin | Unternehmen mit geringerem Risiko, Nachverfolgung von Feststellungen |
| Umfassende Prüfung | Vor-Ort-Prüfung des gesamten Programms | Unternehmen mit höherem Risiko, regelmäßig |
| Thematische Prüfung | Ein Thema bei vielen Unternehmen (zum Beispiel die Travel Rule oder Kundenaufnahme) | Sektorweite Bedenken |
| Gezielte Prüfung | Ein Thema bei einem Unternehmen | Nach einer Beschwerde, einem Vorfall oder einem Medienbericht |
| Eigene Analysen der Aufsichtsbehörde | Von der Aufsichtsbehörde durchgeführte Blockchain-Analysen und Testtransaktionen | Zur Überprüfung von Risikoangaben oder zur Aufdeckung nicht lizenzierter Aktivitäten |
Die FATF veröffentlichte im Juni 2025 Bewährte Verfahren für die Aufsicht über die Travel Rule, eine hilfreiche Referenz dazu, was Aufsichtsbehörden wahrscheinlich beim Travel-Rule-Verfahren eines VASP prüfen werden.
Datenanfragen und regulatorische Meldungen
Aufsichtsmeldungen vergleichen Unternehmen miteinander und mit ihren eigenen früheren Zahlen. Eine nicht erklärte Veränderung wirft daher Fragen auf. Eine vereinfachte Meldung könnte Folgendes enthalten:
{
"reporting_period": "2026-H1",
"customers_active": 412300,
"customers_by_risk": { "low": 301200, "medium": 98400, "high": 12700 },
"deposits_value_usd": 2850000000,
"share_inflows_high_risk_services": 0.012,
"travel_rule_transfers_out": 186500,
"travel_rule_missing_data_rate": 0.031,
"monitoring_alerts_closed": 25840,
"suspicious_reports_filed": 642,
"sanctions_freezes": 3,
"compliance_staff_fte": 38
}Jede Zahl sollte aus einer dokumentierten Abfrage stammen und mit den von der Geschäftsleitung an den Vorstand gemeldeten Angaben übereinstimmen. Sieht eine Aufsichtsbehörde 642 Meldungen bei 25.840 geschlossenen Warnmeldungen, wird sie fragen, wie viele Warnmeldungen eskaliert wurden und warum die übrigen geschlossen wurden. Sieht sie bei Travel-Rule-Transfers eine Datenlückenquote von 3,1 %, wird sie fragen, was mit diesen Transfers geschehen ist. Kann das Unternehmen eine Zahl nicht reproduzieren, wird die Meldung selbst zu einer Feststellung.
Die Prüfung
Eine Vor-Ort- oder Fernprüfung folgt normalerweise denselben Phasen:
- Mitteilung und Anforderung von Unterlagen: Richtlinien, Risikobewertung, Vorstandsprotokolle, Organigramme, Managementinformationen, Prüfberichte, Datenextrakte.
- Befragungen und Prozessdurchläufe: Vorstandsmitglieder, der Compliance-Beauftragte sowie Mitarbeitende aus Betrieb, Produktentwicklung und Technologie erläutern, wie ein Prozess tatsächlich abläuft.
- Stichprobenprüfung: Kundenakten, Warnmeldungen, Meldungen, Travel-Rule-Nachrichten und Sanktionsübereinstimmungen, ausgewählt von den Prüfenden.
- Systemprüfung: Konfiguration des Screenings, Protokolle zu Listenaktualisierungen, Inventar der Überwachungsregeln und Aufzeichnungen zur Feinabstimmung.
- Feststellungsschreiben und Antwort: Das Unternehmen beantwortet jede Feststellung mit einem Abhilfeplan, Verantwortlichen und Fristen.
| Prüfende fordern an | Nachweise, die sie überzeugen |
|---|---|
| Die unternehmensweite Risikobewertung | Ein datiertes, vom Vorstand genehmigtes Dokument, das mit konkreten Kontrollen verknüpft und nach Einführung neuer Produkte aktualisiert wurde |
| Eine Stichprobe von Kundenakten mit hohem Risiko | Verifizierte Identität, Nachweise zur Herkunft der Mittel, Genehmigung durch die zuständige Ebene, Einhaltung der Überprüfungstermine |
| Überwachungsabdeckung | Ein den Typologien zugeordnetes Regelverzeichnis mit Aufzeichnungen zur Feinabstimmung und Tests unterhalb des Schwellenwerts |
| Entscheidungen zu Warnmeldungen | Eine schriftliche Begründung für jeden Abschluss sowie Ergebnisse der Qualitätssicherung |
| Meldeentscheidungen | Ein Entscheidungsprotokoll, das auch Entscheidungen gegen eine Meldung samt Begründung enthält |
| Sanktionskontrollen | Screening-Einstellungen, Zeitstempel der Listenaktualisierungen, Nachweise für die Sperrung anhand des geografischen Standorts |
| Governance | Vorstandsprotokolle, aus denen kritische Rückfragen, Managementinformationen und Ressourcenentscheidungen hervorgehen |
Das Prinzip ist einfach: Eine Kontrolle, für die keine Nachweise vorliegen, wird so behandelt, als gäbe es sie nicht.
Wiederkehrende Feststellungen in öffentlichen Durchsetzungsmaßnahmen
Öffentliche Fälle gegen Kryptounternehmen in vielen Regionen zeigen immer wieder dieselben Versäumnisse. Sie werden hier danach beschrieben, was fehlgeschlagen ist und welche Art von Konsequenz folgte, nicht danach, welches Gesetz Anwendung fand.
| Versäumnis | Öffentliche Beispiele | Konsequenz | Kontrolle, die dies verhindert |
|---|---|---|---|
| Keine oder unzureichende KYC-Prüfungen | Vereinigte Staaten, Anfang 2025: Zwei Börsen hatten Privatkunden jahrelang ohne Identitätsprüfungen handeln lassen. Südkorea, 2025: Bei der größten inländischen Börse gab es Hunderttausende fehlgeschlagene Verifizierungen und Zehntausende Transfers mit nicht registrierten ausländischen Anbietern | Schuldbekenntnisse, Strafen und für eine Börse ein zweijähriger Rückzug vom Markt; ein dreimonatiges Verbot, neue Kunden Krypto ein- oder auszahlen zu lassen, sowie Disziplinarmaßnahmen gegen Führungskräfte | Verifizierung vor jeder Einzahlung oder jedem Handel; Aufarbeitung bestehender Konten; Prüfungen von Gegenparteien |
| Überwachung, die unbemerkt ausfiel | Irland, 2025: Konfigurationsfehler führten dazu, dass etwa ein Drittel der Transaktionen eines Unternehmens rund ein Jahr lang nicht überwacht wurde. Die Abarbeitung des Rückstands führte zu Tausenden verspäteten Meldungen | Geldstrafe und Rüge | Abstimmungen auf Vollständigkeit und Tests nach jeder Regeländerung |
| Meldungen nie eingereicht | Vereinigte Staaten, 2025: Eine Börse räumte ein, dass sie in einem Markt, in dem sie rund 1,5 Millionen Nutzende betreute, nie Verdachtsmeldungen eingereicht hatte | Schuldbekenntnis und Rückzug vom Markt | Eine Meldeentscheidung für jeden eskalierten Fall |
| Aufsichtliche Beschränkung verletzt | Vereinigtes Königreich, 2024: Ein Unternehmen, das zugesagt hatte, keine Kunden mit hohem Risiko aufzunehmen, nahm mehr als 13.000 solcher Kunden auf | Geldstrafe | Kontrollen für jede aufsichtliche Auflage, die vor der Inbetriebnahme getestet werden |
| Richtlinie nur auf dem Papier | Vereinigte Staaten, 2023: Die Richtlinie einer Börse schloss Kunden aus einem Land aus, während ihre Mitarbeitenden aktiv um sie warben | Teil einer strafrechtlichen Einigung | Tests, ob Kontrollen tatsächlich funktionieren, einschließlich der Verkaufsanreize |
| Sanktionsverstöße | Litauen, 2024, und mehrere Fälle in den USA (siehe Ein Sanktions-Compliance-Programm durchführen) | Geldstrafen, Überwachung durch unabhängige Prüfer | Geolokalisierungs- und Wallet-Screening |
| Compliance hält mit Wachstum nicht Schritt | Japan, 2018: Nach einem großen Diebstahl ergab eine Prüfung, dass die internen Kontrollen der Börsen, einschließlich AML/CFT, weit hinter ihrem Wachstum zurückgeblieben waren | Anordnungen zur Verbesserung des Geschäftsbetriebs; einmonatige Aussetzungen für zwei Börsen | Risikotoleranzgrenzen, die an die Compliance-Kapazität geknüpft sind |
Nicht lizenzierte Aktivitäten sind oft der erste Anklagepunkt, weil sie am leichtesten nachzuweisen sind. Die Konsequenzen nehmen jedoch mit den zugrunde liegenden AML-Versäumnissen zu.
Durchsetzungsmaßnahmen und Abhilfe
Aufsichtsbehörden verfügen über eine Reihe von Maßnahmen, die je nach Schwere des Versäumnisses und Reaktion des Unternehmens eingesetzt werden: Feststellungen mit Fristen, formelle Abhilfeanordnungen, Beschränkungen für neue Kunden oder Produkte, Geldstrafen, Aussetzung oder Entzug der Lizenz und in Strafsachen die strafrechtliche Verfolgung des Unternehmens und einzelner Personen.
Ein glaubwürdiges Abhilfeprogramm umfasst fünf Bestandteile:
- Ursachenanalyse: Warum ist die Kontrolle fehlgeschlagen (Konzeption, Ressourcen, Daten, Kultur) und nicht nur, was fehlgeschlagen ist.
- Ein Plan mit Verantwortlichen, Meilensteinen und Aufsicht durch den Vorstand, über den der Aufsichtsbehörde berichtet wird.
- Eine rückblickende Überprüfung: Erneute Prüfung früherer Kunden oder Transaktionen im Zeitraum des Versäumnisses, die häufig zu verspäteten Verdachtsmeldungen und Entscheidungen über die Beendigung von Kundenbeziehungen führt.
- Unabhängige Validierung: Die interne Revision oder eine externe prüfende Stelle testet, ob jede Korrektur funktioniert, bevor sie abgeschlossen wird.
- Nachhaltigkeit: Die Korrektur wird Teil der regulären Tests (siehe Schulung, Kultur und unabhängige Tests).
In den größten Fällen setzen die Behörden eine unabhängige Aufsichtsperson ein: eine externe Fachkraft, die mehrere Jahre im Unternehmen tätig ist, das Programm prüft und der Behörde Bericht erstattet, wie bei der Einigung in den USA von 2023 mit der weltweit größten Börse. Eine weniger weitreichende Maßnahme ist eine angeordnete externe Prüfung: 2025 verlangte die australische Aufsichtsbehörde eine solche bei der lokalen Niederlassung einer großen Börse und verwies dabei auf eine hohe Personalfluktuation und eine schwache lokale Führungskontrolle. Andere Unternehmen beauftragen aus eigener Initiative eine Compliance-Beratung, um ihren guten Willen zu zeigen.
Persönliche Verantwortlichkeit
INR.15 Absatz 6 verlangt, dass Sanktionen auch für Direktoren und die Geschäftsleitung gelten, nicht nur für das Unternehmen. Öffentliche Fälle zeigen, dass dies in der Praxis umgesetzt wird. In den Vereinigten Staaten bekannte sich der Gründer und Vorstandsvorsitzende der größten Börse 2023 schuldig, kein wirksames AML-Programm aufrechterhalten zu haben. Die Gründer einer Derivatebörse bekannten sich 2022 desselben Versäumnisses schuldig und zahlten persönliche Geldstrafen. Die Gründer einer weiteren Börse gaben 2025 persönliche Mittel ab und schieden aus der Geschäftsleitung aus. In Südkorea erhielt 2025 der Vorstandsvorsitzende der größten inländischen Börse eine formelle Verwarnung; den für Compliance und Meldewesen verantwortlichen Führungskräften drohten Maßnahmen bis hin zur Entlassung.
Für den Compliance-Beauftragten bietet die Dokumentation Schutz. Eskalieren Sie erhebliche Schwachstellen schriftlich, bitten Sie darum, Entscheidungen zu protokollieren, halten Sie Ihren Widerspruch fest, wenn der Vorstand entgegen Ihrer Empfehlung ein Risiko akzeptiert, und bewahren Sie Nachweise dafür auf, dass Sie Ressourcen angefordert haben. Eine Aufsichtsbehörde unterscheidet zwischen einem Compliance-Beauftragten, der Alarm geschlagen und sich nicht durchgesetzt hat, und einem, der nichts gesagt hat.
Prüfungsschwerpunkt: Was risikobasierte Aufsicht bedeutet (FATF-Leitlinien vom März 2021; inhärentes Risiko und Kontrollqualität bestimmen Häufigkeit und Tiefe) und welche Instrumente Aufsichtsbehörden einsetzen; warum Datenmeldungen reproduzierbar sein und mit den Berichten an den Vorstand übereinstimmen müssen; die Phasen einer Prüfung und die Nachweise, die Prüfende überzeugen; die Versäumnisse, die in öffentlichen Durchsetzungsmaßnahmen in vielen Regionen wiederkehren (unzureichende KYC-Prüfungen, unbemerkt ausgefallene Überwachung, nicht eingereichte Meldungen, verletzte aufsichtliche Auflagen, Richtlinien nur auf dem Papier, Sanktionsverstöße und eine mit dem Wachstum nicht Schritt haltende Compliance); die Eskalationsstufen der Durchsetzung und die Bandbreite der Konsequenzen; die fünf Bestandteile eines Abhilfeprogramms, rückblickende Überprüfungen und unabhängige Aufsichtspersonen; die persönliche Verantwortlichkeit von Direktoren und der Geschäftsleitung gemäß INR.15 sowie den Schutz des Compliance-Beauftragten.