AMLA warnt vor Geldwäscherisiken bei Post-MiCA-Migration: Was Wirtschaftsprüfungsgesellschaften und CFOs jetzt tun müssen
Die Vorsitzende der Europäischen Geldwäschebekämpfungsbehörde (Anti-Money Laundering Authority, AMLA) hat eine deutliche Warnung ausgesprochen: Die derzeitige Welle von Kundentransfers zwischen Kryptodienstleistern (Crypto Asset Service Providers, CASPs), ausgelöst durch das Post-MiCA-Lizenzierungssterben, schafft identifizierbare Lücken in der Geldwäschebekämpfung, die Kriminelle ausnutzen können und werden. Für Wirtschaftsprüfungsgesellschaften, die digitale Vermögenswerte beraten, Prüfer, die CASP-Kontrollen abzeichnen, und CFOs, die Treasury-Operationen mit Kryptoberührung beaufsichtigen, ist dies keine hintergrundregulatorische Entwicklung. Es ist ein aktives Compliance-Risiko, das ein sofortiges prozessuales Vorgehen erfordert.
Die MiCA-Migrationswelle und warum sie Risiken schafft
Die Markets in Crypto-Assets Regulation (MiCA) verlangte, dass CASPs, die in der EU tätig sind, eine MiCA-Lizenz erwerben oder den Markt verlassen. Diese Frist ist abgelaufen, und der Markt befindet sich nun in seiner Konsolidierungsphase: Einige CASPs haben ihre Zulassung erhalten, andere nicht, und die Unternehmen, die den Prozess nicht abschließen konnten oder wollten, wickeln ihre Kundenbücher ab. Diese Kunden benötigen eine neue Heimat, und lizenzierte CASPs absorbieren in kurzer Zeit große Mengen eingehender Kontotransfers.
Wo die AML-Lücke entsteht
Genau dieser Transferprozess ist der Punkt, an dem die AMLA-Vorsitzende das Risiko identifiziert hat. Wenn ein Kunde von einem schließenden oder nicht konformen CASP zu einem neu lizenzierten wechselt, muss das empfangende Unternehmen seine eigenen Know-Your-Customer (KYC)- und Due-Diligence-Prüfungen von Grund auf durchführen. Es kann nicht einfach die Akte des vorherigen Anbieters übernehmen. In der Praxis führen Onboarding-Rückstände dazu, dass diese Prüfungen manchmal aufgeschoben, komprimiert oder von überlasteten Compliance-Teams bei außergewöhnlichem Volumen durchgeführt werden. Das Ergebnis ist ein Zeitfenster, in dem der empfangende CASP Vermögenswerte für Kunden hält, deren vollständiges Risikoprofil noch nicht nach dem MiCA-Standard validiert wurde.
Die spezifische Sorge der AMLA-Vorsitzenden
Die Äußerungen der AMLA-Vorsitzenden machen deutlich, dass die Behörde diese Übergangszeit als systemische, nicht isolierte Schwachstelle betrachtet. Die Sorge ist strukturell: Es geht nicht darum, dass ein Unternehmen Abstriche macht, sondern um eine branchenweite Migration, die gleichzeitig Onboarding-Spitzen bei mehreren lizenzierten CASPs erzeugt. Diese Konzentration komprimierter Due-Diligence-Prüfungen ist aus Sicht der Regulierungsbehörde ein AML-Risiko an sich, das proaktives und nicht reaktives Management erfordert.
Was MiCA und AMLA von lizenzierten CASPs verlangen
MiCA verpflichtet CASPs zu AML-Maßnahmen unter Bezugnahme auf den bestehenden EU-AML-Rahmen, einschließlich der Transfer of Funds Regulation (ToFR) in ihrer für Kryptowerte aktualisierten Fassung. Gemäß diesen Regeln müssen CASPs bei der Kundenaufnahme und fortlaufend Sorgfaltspflichten (Customer Due Diligence, CDD) anwenden, auf Sanktionen und negative Medien prüfen und bei Bedarf Verdachtsmeldungen (Suspicious Transaction Reports, STRs) einreichen. Keine dieser Pflichten wird ausgesetzt oder abgemildert, nur weil der Kunde von einem anderen regulierten Unternehmen kommt und nicht direkt aus dem Retail-Markt.
Übernommene Akten sind keine konformen Akten
Dies ist der Punkt, den Wirtschaftsprüfungsgesellschaften und Compliance-Beauftragte ihren CASP-Kunden klarmachen müssen: Die Annahme eines Kundendatenexports von einem übertragenden Unternehmen stellt keinen abgeschlossenen KYC-Prozess dar. Der empfangende CASP ist für seine eigene Due-Diligence-Prüfung verantwortlich. Stellt sich später heraus, dass ein übernommener Kunde in illegale Ströme verwickelt war, werden die Aufsichtsbehörden prüfen, ob das empfangende Unternehmen eine angemessene unabhängige Überprüfung durchgeführt hat, und nicht, ob es ein ordentliches Übergabepaket vom abgebenden Anbieter erhalten hat.
Die künftige Aufsichtsrolle der AMLA
Die AMLA wird im Rahmen des neuen EU-AML-Pakets direkte AML-Aufseherin der größten grenzüberschreitenden CASPs, während die nationalen zuständigen Behörden die Aufsicht über kleinere inländische Akteure behalten. Die öffentlichen Kommentare der Vorsitzenden signalisieren, dass die AMLA bereits beobachtet, wie CASPs mit der Migrationsperiode umgehen, und dass sich die aufsichtsrechtliche Aufmerksamkeit auf Onboarding-Kontrollen, die Kontinuität der Transaktionsüberwachung und die Angemessenheit der Risikobewertungen für übertragene Kundenbücher konzentrieren wird.
Buchhalterische und prüferische Auswirkungen für Unternehmen
Für Wirtschaftsprüfungspraxen und Prüfer, die CASP-Kunden betreuen, übersetzt sich die AMLA-Warnung in konkrete Arbeit. Die MiCA-Compliance wird zunehmend zu einer Komponente des Abschlussrisikos, nicht nur zu einem regulatorischen Abhakpunkt. Wenn ein CASP eine große Anzahl migrierter Kunden absorbiert hat, müssen Prüfer beurteilen, ob die AML-Kontrollumgebung des Unternehmens proportional skaliert wurde und ob etwaige Kontrolllücken während des Migrationsfensters behoben wurden oder noch offen sind.
Dokumentation von Kontrolllücken
Prüfer und Compliance-Prüfer sollten Nachweise verlangen, dass der CASP ein spezifisches Migrations-Onboarding-Protokoll eingerichtet hat: eine schriftliche Richtlinie, die den Standard-Retail-Onboarding-Prozess vom beschleunigten oder gebündelten Prozess für übertragene Kunden unterscheidet, mit dokumentierten Risikobegründungen für etwaige Abweichungen. Wenn ein solches Protokoll nicht existiert, ist das ein Befund. Wenn es existiert, aber nicht konsequent befolgt wurde, ist das ein schwerwiegenderer Befund.
Kontinuität der Transaktionsüberwachung
Ein subtileres Risiko liegt in der Transaktionsüberwachung. Wenn ein Kunde migriert, werden seine historischen Transaktionsdaten, die vom abgebenden CASP gehalten werden, in der Regel nicht in das Überwachungssystem des empfangenden Unternehmens übertragen. Der empfangende CASP beginnt daher die Überwachung bei null, ohne Verhaltensbasislinie. Alle Anomalien, die in der Vor-Migrationsaktivität des Kunden vorhanden waren, sind für die Systeme des neuen Unternehmens unsichtbar, es sei denn, das Unternehmen fordert die historischen Daten ausdrücklich an und überprüft sie und lädt sie dann in einem mit seinen Überwachungstools kompatiblen Format. Unternehmen, die eine robuste Buchhaltungssoftware für digitale Vermögenswerte verwenden, sollten überprüfen, ob ihre Transaktionsüberwachungs-Feeds so konfiguriert sind, dass sie Neukunden in einem erhöhten Risikozeitraum kennzeichnen.
Regulatorische Kapital- und Rückstellungsaspekte
Wenn ein CASP aufgrund von AML-Versäumnissen während der Migrationsperiode mit möglichen Aufsichtsmaßnahmen konfrontiert ist, wirft die Möglichkeit finanzieller Sanktionen eine Rückstellungsfrage für CFO und Prüfer auf. Die MiCA-Durchsetzung befindet sich noch in einem frühen Stadium, aber die öffentlichen Äußerungen der AMLA deuten darauf hin, dass die Aufsichtsintensität in diesem Zeitraum zunehmen wird. Eine umsichtige Finanzberichterstattung erfordert zumindest eine Offenlegung des Eventualrisikos, wenn die Migrationskontrollen eines Unternehmens wesentlich überlastet waren.
Praktische Schritte für CFOs und Compliance-Beauftragte
Die Warnung der AMLA-Vorsitzenden ist ein Anstoß zur sofortigen internen Überprüfung, kein Grund zur Beunruhigung. Die folgenden Schritte basieren auf bestehenden MiCA- und EU-AML-Anforderungen, nicht auf neuen, von diesem Artikel erfundenen Verpflichtungen.
Prüfen Sie Ihre Migrations-Onboarding-Warteschlange
CFOs und Chief Compliance Officers von CASPs, die übertragene Kunden aufgenommen haben, sollten einen Statusbericht für jedes seit dem MiCA-Übergang eröffnete migrierte Konto erstellen. Der Bericht sollte zeigen: ob vollständige KYC-Dokumentation gesammelt und verifiziert wurde, ob eine Risikobewertung vorgenommen wurde, ob eine verstärkte Sorgfaltspflicht (Enhanced Due Diligence, EDD) auf risikoreichere Profile angewendet wurde und ob noch Konten in einem vorläufigen oder unvollständigen Zustand sind. Jede unvollständige Akte stellt ein offenes AML-Risiko dar.
Überprüfen Sie die Konfiguration der Transaktionsüberwachung
Bestätigen Sie mit Ihrem Compliance-Technologie-Team, dass migrierte Kunden in Ihrem Überwachungssystem als Neukunden gekennzeichnet sind und dass während einer ersten Beobachtungsperiode angemessene Regeln für erhöhtes Risiko auf ihre Aktivitäten angewendet werden. Sofern historische Transaktionsdaten vom abgebenden CASP verfügbar sind, prüfen Sie, ob diese in Ihr System eingespeist werden können, um eine Verhaltensbasislinie zu etablieren. Unternehmen, die auf Krypto-Buchhaltungssoftware oder Buchhaltungssoftware für digitale Vermögenswerte setzen, sollten sicherstellen, dass die Datenflüsse zwischen der Buchhaltungsebene und der Compliance-Überwachungsebene für alle migrierten Konten intakt und aktuell sind.
Dokumentieren Sie die Aufsichtsbereitschaft
AMLA und nationale zuständige Behörden sind über das Migrationsrisiko informiert. Eine aufsichtliche Anfrage oder ein Vor-Ort-Besuch, ausgelöst durch die Migrationswelle, ist ein realistisches Szenario in naher Zukunft. Compliance-Teams sollten eine Migrationsakte vorbereiten: eine konsolidierte Aufzeichnung des verwendeten Onboarding-Protokolls, des Volumens der übertragenen Kunden, des Zeitplans der KYC-Abschlüsse und aller Eskalationen oder STRs während des Zeitraums. Diese Akte sollte prüfbereit sein, bevor eine Aufsichtsbehörde danach fragt.
Rechtlichen Rat zu übernommener Haftung einholen
Wenn ein übertragener Kunde später als an illegalen Aktivitäten vor der Migration beteiligt befunden wird, können Haftungsfragen zwischen dem abgebenden und dem empfangenden CASP aufkommen. Unternehmen sollten frühzeitig rechtlichen Rat zum Umfang ihres Risikos einholen und prüfen, ob die Bedingungen einer etwaigen Kundenübertragungsvereinbarung mit dem abgebenden Anbieter relevante Zusicherungen oder Freistellungen enthalten.
Das breitere MiCA-Compliance-Bild
Diese Warnung der AMLA kommt nicht isoliert. Die ESMA hat bereits aufsichtliche Bewertungen der Verwahrpraktiken von CASPs durchgeführt, und nationale Regulierungsbehörden in der gesamten EU haben Leitlinien und Durchsetzungsmaßnahmen erlassen, während sich das MiCA-Regime einspielt. Die Äußerungen der AMLA-Vorsitzenden sind das AML-Gegenstück zu dieser breiteren aufsichtlichen Intensivierung. Zusammengenommen sind die Signale der EU-Behörden konsistent: Die MiCA-Lizenzierung war die Schwelle, und die eigentliche Aufsichtsarbeit beginnt jetzt.
Wirtschaftsprüfungsgesellschaften, die CASPs zu MiCA-Compliance-Krypto-Verpflichtungen beraten, sollten das Migrations-AML-Risiko als lebendigen Prüfungspunkt betrachten, nicht als Hintergrundbeobachtung. Das Fenster, in dem dieses Risiko am akutesten ist, ist das gegenwärtige, und Unternehmen, die ihre Kontrollen dokumentieren und Lücken jetzt schließen, werden bei aufsichtlicher Prüfung wesentlich besser dastehen. Eine breitere Sicht auf aktuelle MiCA-Aufsichtsentwicklungen finden Sie in unserer Berichterstattung über MiCA-Lizenzierungspflichten für Krypto-Verwahrer und den ESMA-Frage-und-Antwort-Katalog zu CASP-Verwahrpflichten.
Häufig gestellte Fragen
Muss ein MiCA-lizenzierter CASP die KYC-Prüfung für Kunden wiederholen, die von einem nicht lizenzierten Anbieter übertragen wurden?
Ja. Ein empfangender CASP muss seine eigenen Kundensorgfaltspflichten gemäß dem EU-AML-Rahmen und den MiCA-Anforderungen durchführen. Die Annahme einer Datendatei vom abgebenden Anbieter ersetzt keine unabhängige Überprüfung. Das empfangende Unternehmen ist ab dem Zeitpunkt der Kundenannahme vollständig für die Angemessenheit seines eigenen KYC- und Risikobewertungsprozesses verantwortlich.
Was ist die AMLA und wann übernimmt sie die direkte Aufsichtsverantwortung für CASPs?
Die Anti-Money Laundering Authority (Geldwäschebekämpfungsbehörde) ist die neue zentrale AML-Aufsichtsbehörde der EU, die mit dem EU-AML-Paket 2024 eingerichtet wurde. Sie wird im Rahmen der schrittweisen Einführung dieses Pakets die direkte Aufsichtsverantwortung für die größten grenzüberschreitenden CASPs übernehmen. Kleinere inländische CASPs bleiben unter der Aufsicht nationaler zuständiger Behörden, aber die AMLA legt die Aufsichtsstandards fest und koordiniert die Maßnahmen zwischen den Rechtsordnungen.
Wie sollte eine Wirtschaftsprüfungsgesellschaft AML-Lücken aus der Migrationsperiode bei der Prüfung eines CASP-Kunden behandeln?
Prüfer sollten beurteilen, ob der CASP ein dokumentiertes Migrations-Onboarding-Protokoll eingerichtet und befolgt hat, ob die Transaktionsüberwachung für Neukunden angemessen konfiguriert war und ob etwaige Kontrolllücken während des Migrationsfensters behoben wurden. Nicht behobene Lücken sind Kontrollbefunde. Besteht bei diesen Lücken ein realistisches Risiko regulatorischer Sanktionen, sollten CFO und Prüfer erwägen, ob eine Offenlegung von Eventualverbindlichkeiten im Jahresabschluss erforderlich ist.
Gilt dieses AML-Risiko auch für CASPs, die nur eine kleine Anzahl migrierter Kunden erhalten haben?
Die Verpflichtung zur Durchführung angemessener KYC-Prüfungen gilt unabhängig vom Volumen. Ein CASP, der selbst eine kleine Kohorte übertragener Kunden ohne vollständige unabhängige Due-Diligence-Prüfung aufgenommen hat, hat das gleiche Compliance-Risiko in Bezug auf diese Konten wie ein Unternehmen, das Tausende aufgenommen hat. Das Volumen beeinflusst das operationelle Risikomanagement, nicht die rechtliche Verpflichtung.
Was sollte ein CFO in eine Migrations-Compliance-Akte aufnehmen, um sich auf eine mögliche aufsichtliche Prüfung vorzubereiten?
Die Akte sollte das schriftliche Migrations-Onboarding-Protokoll, eine quantitative Zusammenfassung der übertragenen Konten, ein Statusprotokoll mit Abschlussrate und Zeitplan der KYC-Prüfungen, Aufzeichnungen über verstärkte Sorgfaltspflichten für risikoreichere übertragene Kunden sowie Kopien aller im Zusammenhang mit migrierten Konten eingereichten Meldungen über verdächtige Aktivitäten oder Transaktionen enthalten. Diese Dokumentation sollte aufbewahrt und zugänglich sein, bevor eine aufsichtliche Anfrage eingeht.
Quelle: Cointelegraph Regulation