Empfehlung 16 für virtuelle Vermögenswerte

Empfehlung 16 ist der Punkt, an dem die Kundendaten eines Kryptounternehmens nicht mehr rein intern bleiben. Jede Überweisung an einen anderen Anbieter muss identifizierende Daten zu beiden Parteien enthalten, und jede eingehende Überweisung muss daraufhin geprüft werden. Die meisten Verstöße gegen die Travel Rule entstehen dadurch, dass falsch verstanden wird, wer welche Daten bereitstellen muss, wie gründlich sie verifiziert werden müssen und wann sie gesendet werden müssen.

Von Überweisungen zu Überweisungen virtueller Vermögenswerte

Empfehlung 16 wurde für Banküberweisungen verfasst. Absatz 7(b) der Auslegungsnote zu Empfehlung 15 (INR.15) erstreckt sie auf virtuelle Vermögenswerte. Originierende VASPs müssen die erforderlichen und korrekten Informationen zum Auftraggeber sowie die erforderlichen Informationen zum Begünstigten einholen und aufbewahren, diese dem begünstigten VASP oder Finanzinstitut „unverzüglich und sicher“ übermitteln und sie den Behörden auf Anfrage zur Verfügung stellen. Begünstigte VASPs müssen die erforderlichen Informationen zum Auftraggeber sowie die erforderlichen und korrekten Informationen zum Begünstigten einholen und aufbewahren. Die übrigen Pflichten aus R.16 gelten entsprechend: Überwachung, ob die Informationen vorhanden sind, sowie das Einfrieren und Verbot von Transaktionen mit benannten Personen und Organisationen. Banken und andere Finanzinstitute, die Überweisungen virtueller Vermögenswerte für Kunden senden oder empfangen, haben dieselben Pflichten.

Die Terminologie für Überweisungen lässt sich wie folgt auf Krypto übertragen:

Die FATF hat Empfehlung 16 im Juni 2025 überarbeitet; die Änderungen treten bis Ende 2030 in Kraft. Die Pflichten für virtuelle Vermögenswerte werden weiterhin anhand von Absatz 7(b) der INR.15 und der FATF-Leitlinien zu virtuellen Vermögenswerten (Oktober 2021) ausgelegt. Die in dieser Lektion behandelten Datenelemente entsprechen dem Text vor 2025, der in den Leitlinien beschrieben wird; die überarbeitete R.16 ändert einige davon. Prüfen Sie daher, welche Fassung ein Land umgesetzt hat. Die Lektion Empfehlung 15 und ihre Auslegungsnote behandelt den übrigen Teil der INR.15.

Erforderlich versus korrekt

Zwei Begriffe sind entscheidend. Erforderlich sind die Datenelemente, die mit der Überweisung übermittelt werden müssen. Korrekt sind Informationen, die verifiziert wurden.

Oberhalb des Schwellenwerts umfassen die erforderlichen Informationen zum Auftraggeber dessen Namen, die zur Abwicklung der Überweisung verwendete Kontonummer (Wallet-Adresse) oder eine eindeutige Transaktionsreferenz sowie eine der folgenden Angaben: die physische Adresse des Auftraggebers, seine nationale Identifikationsnummer, seine Kundenidentifikationsnummer oder sein Geburtsdatum und seinen Geburtsort. Die erforderlichen Informationen zum Begünstigten umfassen dessen Namen und Kontonummer oder eine eindeutige Transaktionsreferenz.

Die Asymmetrie ergibt sich daraus, wer wen kennt:

• Der originierende VASP hat seinen eigenen Kunden verifiziert, daher müssen die von ihm übermittelten Daten zum Auftraggeber korrekt sein. Der Name des Begünstigten entspricht der Angabe des Kunden; der originierende VASP kann ihn nicht verifizieren, und der Standard verlangt dies auch nicht von ihm.
• Der begünstigte VASP hat seinen eigenen Kunden verifiziert, daher ist er für korrekte Daten zum Begünstigten verantwortlich und kann den eingehenden Namen des Begünstigten mit seinen Unterlagen abgleichen.

Eine Namensabweichung aufseiten des Begünstigten ist daher ein erwartetes Ergebnis der Kontrolle und kein Systemfehler. Sie kann auf einen Tippfehler, eine Überweisung des Kunden an die falsche Person oder die Nutzung eines Kontos durch eine andere Person als dessen Inhaber hindeuten.

Der De-minimis-Schwellenwert

Der FATF-Standard erlaubt Ländern die Anwendung eines De-minimis-Schwellenwerts von 1.000 USD/EUR. Unterhalb dieses Schwellenwerts muss eine Überweisung weiterhin die Namen des Auftraggebers und des Begünstigten sowie für jeden die Wallet-Adresse oder eine eindeutige Referenz enthalten. Die Daten müssen jedoch nur dann verifiziert werden, wenn der Verdacht auf Geldwäsche oder Terrorismusfinanzierung besteht. Die nationalen Umsetzungen unterscheiden sich; manche setzen einen niedrigeren Schwellenwert oder gar keinen fest.

Daraus ergeben sich zwei operative Folgen. Ein Schwellenwert begünstigt Stückelung: Ein Kunde, der wiederholt Beträge knapp unterhalb des Schwellenwerts an dieselbe Zieladresse abhebt, sollte eine Überwachung auslösen (siehe die Lektion Warnsignale und Typologien). Und bei einem Schwellenwert in Fiatwährung, der auf einen volatilen Vermögenswert angewendet wird, müssen eine Preisquelle und ein Umrechnungszeitpunkt festgelegt werden, da dieselbe Überweisung sonst auf die eine oder andere Seite des Schwellenwerts fallen kann. Viele Unternehmen übermitteln daher bei jeder Überweisung an einen anderen VASP den vollständigen Datensatz und wenden eine reduzierte Behandlung nur dort an, wo eine lokale Vorschrift dies verlangt.

Pflichten nach Rolle

Der anweisende VASP hält die Daten zum Auftraggeber aus dem Onboarding vor, erhebt die Daten zum Begünstigten beim Kunden, wenn dieser eine Auszahlung beantragt, prüft beide Namen und übermittelt den Datensatz. Die FATF-Regel für Überweisungen sieht vor, dass ein anweisendes Institut keine Überweisung ausführen sollte, die den Anforderungen nicht entspricht. In der Praxis wird keine Auszahlung an einen anderen VASP ohne vollständigen Datensatz ausgeführt, und jede Nachricht wird gemäß der Aufbewahrungspflicht aus Empfehlung 11 gespeichert.

Der intermediäre VASP befindet sich in einer seriellen Kette und empfängt und leitet eine Überweisung für einen anderen Anbieter weiter, beispielsweise ein Liquiditätsanbieter, der für eine kleinere Börse abrechnet. Er muss alle mit der Überweisung empfangenen Informationen an diese angehängt halten, Aufzeichnungen aufbewahren, angemessene Maßnahmen ergreifen, um Überweisungen ohne die erforderlichen Informationen zu erkennen, und risikobasierte Richtlinien für deren Ausführung, Ablehnung oder Aussetzung vorhalten.

Der begünstigte VASP muss angemessene Maßnahmen ergreifen, zu denen auch eine nachträgliche oder Echtzeitüberwachung gehören kann, um eingehende Überweisungen ohne die erforderlichen Informationen zu erkennen. Er verifiziert den Begünstigten, falls dies noch nicht geschehen ist, und benötigt risikobasierte Richtlinien dazu, wann solche Überweisungen ausgeführt, abgelehnt oder ausgesetzt werden und welche Folgemaßnahmen zu ergreifen sind. Fehlende Informationen sind auch ein Faktor bei der Entscheidung, ob eine Meldung an die Financial Intelligence Unit erstattet werden soll. Die Lektion Abläufe und Ausnahmen bei der Travel Rule setzt diese Richtlinien in Verfahren um.

Wenn sowohl der Auftraggeber als auch der Begünstigte Kunden desselben VASP sind, wird keine Nachricht über eine Grenze hinweg übermittelt, aber das Unternehmen hält beide Datensätze vor. Wie ein Zahlungsdienstleister, der beide Enden einer Zahlung kontrolliert, sollte es Informationen von beiden Seiten nutzen, wenn es entscheidet, ob eine Aktivität verdächtig ist.

Sammelüberweisungen und Omnibus-Wallets

Die Regel für Überweisungen erlaubt eine Sammeldatei mit einzelnen Überweisungen eines einzigen Auftraggebers, bei der pro Position nur die Kontonummer oder Referenz des Auftraggebers enthalten sein muss, sofern die Sammeldatei selbst die vollständigen Informationen zum Auftraggeber und zu den Begünstigten enthält und im Land des Begünstigten nachvollziehbar ist.

Bei Krypto gibt es eine andere Art der Bündelung. Eine Börse kann die Auszahlungen vieler Kunden zu einer On-Chain-Transaktion mit Dutzenden von Ausgängen zusammenfassen, die von einer gemeinsamen Hot Wallet gesendet werden. Die FATF-Texte behandeln diesen Fall nicht unmittelbar, aber die Logik von R.16 weist in eine Richtung: Die Pflicht bezieht sich auf die Überweisung jedes einzelnen Kunden, nicht auf die On-Chain-Transaktion, mit der mehrere Überweisungen abgewickelt werden. Dieser Auslegung zufolge benötigt jeder Ausgang an einen anderen VASP einen eigenen Datensatz, der den Kunden, den Betrag und die Zieladresse miteinander verknüpft. Die On-Chain angezeigte Adresse gehört der Börse und nicht dem Kunden. Daher sollte die Kontoangabe in der Nachricht das Kundenkonto identifizieren, und die Aufzeichnungen müssen jeden Ausgang seiner Nachricht zuordnen.

Zeitpunkt und durchgearbeitetes Beispiel

„Unverzüglich“ bedeutet nicht „irgendwann später“. Die FATF-Leitlinien zu virtuellen Vermögenswerten legen den Begriff so aus, dass die Übermittlung vor, gleichzeitig mit oder zeitgleich zur Überweisung erfolgt. Eine bestätigte Überweisung kann nicht rückgängig gemacht werden. Wenn die Daten zuerst gesendet werden, kann der begünstigte VASP bestätigen, dass die Adresse zu einem Kunden gehört, den Auftraggeber prüfen und die Überweisung annehmen oder ablehnen, bevor der Wert übertragen wird. Daten, die erst Stunden nach der Bestätigung gesendet werden, verfehlen sowohl den Standard als auch das Kontrollziel. Sicher bedeutet, die Integrität und Vertraulichkeit der Daten bei der Übertragung zu schützen und den Zugriff auf Personen zu beschränken, die ihn benötigen.

Ein Kunde der Börse A hebt USDT im Wert von 2.400 USD auf eine Einzahlungsadresse bei der Börse B ab:

1. Die Zuordnung zeigt, dass die Adresse zur Börse B gehört, einem registrierten VASP, den A bereits geprüft hat.
2. A entnimmt der Kundenakte den verifizierten Namen, die Kundennummer und das Geburtsdatum des Auftraggebers sowie den vom Kunden eingegebenen Namen des Begünstigten.
3. A gleicht beide Namen mit Sanktionslisten ab und sendet den Datensatz an B, bevor die Transaktion übertragen wird.
4. B bestätigt, dass die Adresse eine Kundeneinzahlungsadresse ist, stellt fest, dass der Name des Begünstigten bis auf einen fehlenden Akzent übereinstimmt, prüft den Auftraggeber und nimmt die Überweisung an.
5. A überträgt die Transaktion und sendet B die Txid. Beide Unternehmen speichern die Nachricht, die Antwort und die Txid zusammen.

Hätte B die Überweisung abgelehnt, wäre nichts auf der Blockchain bewegt worden, und A hätte den Kunden um eine Korrektur der Angaben bitten können.

Prüfungsschwerpunkt: Wie INR.15 R.16 auf originierende und begünstigte VASPs sowie auf Finanzinstitute anwendet; die erforderlichen Angaben zum Auftraggeber und Begünstigten und der Unterschied zwischen erforderlichen und korrekten Daten; die De-minimis-Option von 1.000 USD/EUR, welche Angaben unterhalb des Schwellenwerts dennoch übermittelt werden und welches Stückelungsrisiko daraus entsteht; die unterschiedlichen Pflichten anweisender, intermediärer und begünstigter VASPs, einschließlich risikobasierter Richtlinien für Ausführung, Ablehnung oder Aussetzung; warum jeder Ausgang einer gebündelten On-Chain-Auszahlung einen eigenen Datensatz benötigt; die Bedeutung von „unverzüglich“ als vor, gleichzeitig mit oder zeitgleich zur Überweisung und weshalb ein Datenaustausch vor der Überweisung die bessere Kontrolle darstellt.