Geldwäschebekämpfung, Terrorismusfinanzierung und die Travel Rule

Was AML/CFT erreichen soll

Geldwäschebekämpfung (AML) ist der Rahmen zur Erkennung und Begrenzung von Versuchen, Herkunft, Eigentum oder Bestimmungsort krimineller Erträge zu verschleiern. Die Bekämpfung der Terrorismusfinanzierung (CFT) richtet sich gegen Finanzierungen im Zusammenhang mit Terrorismus, bei denen Mittel aus legalen oder illegalen Quellen stammen können. Einige Regelwerke befassen sich ausdrücklich auch mit der Finanzierung der Proliferation. Ziel ist nicht, jede komplexe Transaktion als verdächtig einzustufen, sondern rechtmäßige, risikobasierte Kontrollen anzuwenden, festgelegte Bedenken zu erkennen und den zuständigen Behörden nutzbare Informationen bereitzustellen.

Die Financial Action Task Force (FATF) ist ein zwischenstaatliches Normungsgremium. Ihre Empfehlungen sind internationale Standards und keine weltweit unmittelbar geltenden Gesetze. Die FATF-Empfehlung 1 verlangt die Ermittlung, Bewertung und das Verständnis von Risiken. Empfehlung 10 behandelt die Sorgfaltspflichten gegenüber Kunden, einschließlich der Identifizierung und Überprüfung von Kunden und gegebenenfalls wirtschaftlichen Eigentümern. Empfehlung 11 betrifft die Aufbewahrung von Unterlagen; Empfehlung 20 betrifft die Meldung verdächtiger Transaktionen. Empfehlung 15 und ihre Interpretative Note erstrecken den Rahmen auf virtuelle Vermögenswerte und Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASPs). Die Empfehlungen und nationale Gesetze dürfen nicht als identische Texte missverstanden werden.

Wer fällt in den Anwendungsbereich?

Ein VASP wird anhand der Tätigkeiten definiert, die er geschäftsmäßig für eine andere Person oder in deren Namen ausübt, und nicht danach, ob sich das Unternehmen als Börse bezeichnet. Zu den relevanten Tätigkeiten der FATF können der Umtausch, die Übertragung, die Verwahrung oder Verwaltung sowie bestimmte Finanzdienstleistungen im Zusammenhang mit dem Angebot oder Verkauf eines Emittenten gehören. Eine Wallet-Anwendung, eine autonome Software und ein Unternehmen, das Dienstleistungen betreibt, sind nicht automatisch gleichartige Akteure. Ob eine Person erfasst ist, hängt von der tatsächlichen Kontrolle, den Dienstleistungen, den Umständen und der jeweiligen nationalen Umsetzung ab. Für öffentliche Stellen, Anwälte und Auftragnehmer können nach ihren jeweiligen Regelungen unterschiedliche berufliche Melde- und Vertraulichkeitspflichten gelten.

Der risikobasierte Compliance-Zyklus

Identifizieren, überprüfen, überwachen und melden

Eine Organisation legt zunächst die Risiken ihrer Kunden und Produkte, ihre geografische Exposition, ihre Vertriebskanäle und ihre Transaktionen fest. Die Sorgfaltspflichten gegenüber Kunden (CDD) umfassen die Erhebung und Überprüfung von Identitätsangaben; bei der Prüfung des wirtschaftlichen Eigentums sollen gegebenenfalls die natürlichen Personen ermittelt werden, die einen Kunden letztlich besitzen oder kontrollieren. Verstärkte Sorgfaltspflichten bedeuten eine eingehendere Prüfung bei Umständen mit höherem Risiko. Die laufende Überwachung vergleicht die Aktivitäten mit dem bekannten Zweck und Risikoprofil einer Geschäftsbeziehung. Die Organisation muss dokumentieren, warum ein Hinweis ausgeräumt, eskaliert oder gemeldet wird, statt sich allein auf einen nicht erklärten Wert zu stützen.

Häufige Bedenken sind widersprüchliche Angaben zur Herkunft der Mittel, ungewöhnliche Bewegungen über mehrere Dienste, der Einsatz von Zwischenhändlern, die eine erwartete Geschäftsbeziehung verschleiern, oder Aktivitäten, die nicht mit dem angegebenen Geschäft eines Kunden übereinstimmen. Die Herkunft der Mittel bezeichnet den Ursprung der Vermögenswerte, die bei einer bestimmten Transaktion eingesetzt werden; die Herkunft des Vermögens bezieht sich darauf, wie eine Person ihr Gesamtvermögen erworben hat. Keine dieser Fragen lässt sich immer anhand öffentlich verfügbarer Blockchain-Daten beantworten. Ein risikobasierter Ansatz kombiniert verfügbare Nachweise zu Konten, rechtmäßig zugängliche externe Unterlagen, Verhaltensmuster und menschliche Prüfung.

Eine Meldung verdächtiger Transaktionen (STR), manchmal auch Meldung verdächtiger Aktivitäten (SAR) genannt, ist eine rechtsraumspezifische Einreichung bei einer benannten Behörde. Meldekriterien, Fristen, Geheimhaltungspflichten und zulässige Offenlegungen unterscheiden sich. Ein Mitarbeiter darf einem Kunden nicht automatisch mitteilen, dass eine Meldung eingereicht wurde; viele Rechtssysteme schränken das sogenannte Tipping-off ein. Umgekehrt sollten Mitarbeiter keine über das Gesetz oder die Organisationsrichtlinien hinausgehende Geheimhaltung versprechen. Aufbewahrungspflichten und Datenschutzvorkehrungen müssen miteinander vereinbar sein.

Die Travel Rule einfach erklärt

Daten werden zwischen verantwortlichen Anbietern übermittelt

Der Begriff „Travel Rule“ bezeichnet Anforderungen, nach denen bestimmte Angaben zum Auftraggeber (Absender) und zum Begünstigten (Empfänger) qualifizierende Übertragungen begleiten oder im Zusammenhang mit ihnen verfügbar gemacht werden müssen. Es handelt sich um eine Transparenzregel für verpflichtete Institute, nicht um eine Anweisung, personenbezogene Daten in einer Blockchain-Transaktion zu veröffentlichen. Der FATF-Rahmen stellte Übertragungen durch VASPs traditionell in Verbindung mit Empfehlung 16 (Transparenz bei Zahlungen), gelesen zusammen mit den Bestimmungen zu virtuellen Vermögenswerten in Empfehlung 15 und dem dazugehörigen Auslegungsmaterial. Die FATF überarbeitete Empfehlung 16 im Jahr 2025; weitere Änderungen wurden an den Empfehlungen in der im Juni 2026 geänderten Fassung vorgenommen. Die Umsetzung und Übergangsregelungen sollten anhand der zum Zeitpunkt der Übertragung geltenden nationalen Vorschriften geprüft werden.

Beispielsweise muss der VASP des Auftraggebers gegebenenfalls die erforderlichen Angaben zum Auftraggeber und zum Begünstigten einholen und über eine geeignete sichere Vereinbarung an den empfangenden VASP übermitteln. Der empfangende Anbieter prüft die Vollständigkeit und behandelt etwaige Mängel nach Maßgabe des lokalen Rechts. Zwischen Anbietern ausgetauschte Informationen sind nicht notwendigerweise in der Blockchain gespeichert. Eine öffentliche Adresse identifiziert für sich genommen und ohne zusätzliche Aufzeichnungen normalerweise nicht zuverlässig eine reale Person.

Selbstverwahrte Wallets und grenzüberschreitende Herausforderungen

Eine selbstverwahrte Adresse wird direkt von einem Nutzer kontrolliert und nicht von einem als Verwahrer handelnden Dienstleister. Die Anforderungen für Transaktionen mit solchen Adressen unterscheiden sich; Fachleute dürfen weder von einer allgemeingültigen Ausnahme noch von einem allgemeinen Verbot ausgehen. In den Rechtsräumen gelten unterschiedliche Schwellenwerte und Prüfungen: Beispielsweise führt die EU bei bestimmten Übertragungen mit selbstverwahrten Adressen über 1.000 EUR Überprüfungen durch, während die seit Langem geltenden US-Vorschriften für Geldtransfers einen Richtwert von 3.000 USD vorsehen. Diese Beträge dürfen nicht als weltweit geltende Bagatellgrenzen oder als Erlaubnis zur Aufteilung von Übertragungen behandelt werden.

Governance, Datenschutz und Nutzung im öffentlichen Sektor

Die Einhaltung der AML/CFT-Vorschriften ist ein kontrollierter Entscheidungsprozess. In der Governance sollte festgelegt werden, wer Richtlinien genehmigt, wer Hinweise untersucht, wie Konflikte gelöst und wie Stichproben zur Qualitätskontrolle durchgeführt werden. Systeme benötigen Zugriffsprotokolle und Datenminimierung: Es sollten nur die gesetzlich und für ein legitimes Risikomanagement erforderlichen Daten erhoben, geschützt und vertrauliche Kundeninformationen nicht unnötig verbreitet werden. Datenschutzgesetze (die DSGVO der EU ist ein bekanntes Beispiel) regeln ebenfalls, wie Kundeninformationen verarbeitet und aufbewahrt werden. Die Rechtsgrundlagen für die Verarbeitung und die Aufbewahrungsfristen sind für jede Organisation und jeden Rechtsraum gesondert zu prüfen.

Eine Behörde kann in einer beschlagnahmten Unterlage oder Vergabeakte auf eine Adresse stoßen. Ein interner Analyst sollte die Herkunft der Informationen dokumentieren, davon absehen, unbefugt auf persönliche Konten zuzugreifen, und Informationen nur an einen befugten Empfänger weitergeben. „Risikobasiert“ bedeutet nicht, dass vorgeschriebene Prüfungen nach Ermessen umgangen werden dürfen. Es bedeutet, dass Aufwand und Prüftiefe innerhalb der gesetzlichen Mindestanforderungen verhältnismäßig sind und eine nachvollziehbare Begründung sowie einen Prüfpfad haben. Die gezielte FATF-Aktualisierung von 2026 zu virtuellen Vermögenswerten und VASPs berichtet über anhaltende Umsetzungslücken weltweit und unterstreicht damit, wie wichtig es ist, die lokalen Aufsichtsanforderungen zu prüfen, statt von weltweiter Einheitlichkeit auszugehen.

Prüfungsschwerpunkt: Erläutern Sie AML, CFT, CDD, wirtschaftliches Eigentum, Überwachung, die Meldung von STR/SAR und die Travel Rule; unterscheiden Sie FATF-Standards von verbindlichem lokalem Recht sowie On-Chain-Übertragungen vom geschützten Off-Chain-Austausch von Informationen.