Wallet-Screening und Transaktionsüberwachung bei CASPs: was die Aufsichtsbehörden in der EU erwarten

Der rechtliche Rahmen

Drei Instrumente tragen das Geldwäscheregime der EU, und ein viertes steht daneben. Die Verordnung (EU) 2023/1113 wendet die Travel Rule auf Kryptowertetransfers an und unterstellt nach MiCA zugelassene CASPs über ihre Änderungen der Richtlinie (EU) 2015/849 denselben Pflichten zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung und derselben Aufsicht wie Kredit- und Finanzinstitute. Am 16. Januar 2024 hat die EBA ihre Leitlinien zu Risikofaktoren für Geldwäsche und Terrorismusfinanzierung auf CASPs ausgedehnt; sie führen Risikofaktoren zu Kunden, Produkten, Vertriebskanälen und geografischen Gebieten auf und erläutern, wie CASPs ihre risikomindernden Massnahmen anpassen sollten, einschliesslich des Einsatzes von Blockchain-Analysetools. Am 4. Juli 2024 hat sie die Travel-Rule-Leitlinien herausgegeben. Diese legen fest, welche Angaben einen Transfer begleiten müssen, welche Schritte CASPs und zwischengeschaltete CASPs unternehmen müssen, um fehlende oder unvollständige Angaben festzustellen, und was zu tun ist, wenn Angaben fehlen. Beide Leitlinien gelten seit dem 30. Dezember 2024. Der gesetzliche Auftrag, auf dem sie beruhen, nennt die schwierigen Fälle: Massnahmen zur Identifizierung und Überprüfung bei Transfers an oder von selbst gehosteten Adressen, verstärkte Sorgfaltspflichten in Situationen mit hohem Risiko und Beziehungen zu CASPs von ausserhalb der EU.

Das vierte Instrument ist das Leitlinienpaar der EBA zu internen Strategien, Verfahren und Kontrollen für die Umsetzung der restriktiven Massnahmen der EU und der Mitgliedstaaten: EBA/GL/2024/14 und, eigens für Zahlungsdienstleister und CASPs, EBA/GL/2024/15, anwendbar seit dem 30. Dezember 2025. Die Leitlinien behandeln das Sanktionsscreening als eigene Disziplin, getrennt von der Zuordnung von Wallets: Jede an einem Transfer beteiligte Partei wird mit den anwendbaren Listen abgeglichen, einschliesslich der Angaben zum Originator und zum Begünstigten und allfälliger gelisteter Wallet-Adressen; Treffer werden nach einem dokumentierten Verfahren abgeklärt; und eine bestätigte Übereinstimmung mit einer gelisteten Person, oder mit einer Einrichtung, die im Eigentum oder unter der Kontrolle einer solchen Person steht, führt zum Einfrieren und zur Sperrung auf einem Zwischenkonto, bis die zuständige nationale Behörde Anweisungen erteilt, sowie zur Meldung. Dieses Ergebnis hängt nicht von einem Risikoscore ab, und die Zurückweisung oder Rückgabe des Transfers erfüllt die Pflicht zum Einfrieren nicht.

Drei Inputs

Ein eingekauftes Analysetool deckt in der Regel einen Input ab: die Adressanalyse, also das Clustering und die Zuordnung, mit denen abgeschätzt wird, wessen Wallet Sie vor sich haben und womit sie in Berührung gekommen ist. Ein Rahmen, der den Texten der EBA genügt, braucht zwei weitere. Er braucht den Umgang mit Travel-Rule-Daten: Abläufe, die ausgehenden Transfers die Angaben zum Originator und zum Begünstigten beifügen; vorher darf ein Transfer nicht eingeleitet werden (Art. 14 Abs. 8). Bei eingehenden Transfers stellen diese Abläufe fest, was fehlt, fordern es an und setzen der Gegenpartei für die Nachlieferung eine Frist innerhalb der Grenzen der Travel-Rule-Leitlinien der EBA (drei Arbeitstage bei Transfers innerhalb der EU und fünf bei Transfers, die von ausserhalb der EU eingehen, gerechnet ab dem Tag, an dem die Lücke festgestellt wird; bis zu sieben Tage in den beiden Fällen, welche die Leitlinien nennen: eine Kette mit mehr als zwei Beteiligten einschliesslich zwischengeschalteter Stellen und Nichtbanken sowie eine Kette mit einem Anbieter mit Sitz ausserhalb der EU). Ferner melden sie eine Gegenpartei, die die Angaben wiederholt nicht liefert, und lösen ein dokumentiertes, risikobasiertes Verfahren aus, wenn Angaben ausbleiben, denn die Verordnung verlangt an diesem Punkt einen Entscheid.

Er braucht ausserdem die Due Diligence von CASPs als Gegenparteien: Sie müssen wissen, ob die Plattform auf der Gegenseite ein nach MiCA zugelassener CASP ist, ein Anbieter, der ausserhalb der EU nach einem Rahmen reguliert ist, der so robust ist wie MiCA und die Geldwäscherichtlinie (was die Risikofaktor-Leitlinien der EBA als risikomindernd behandeln), oder ein Anbieter unter einem schwächeren oder gar keinem Regime; für korrespondenzbankähnliche Beziehungen gibt Art. 19b der Geldwäscherichtlinie den Rahmen der Prüfung vor (Zulassung oder Eintragung, Art der Geschäftstätigkeit und Qualität der Beaufsichtigung, Kontrollen der Gegenpartei zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Zustimmung der Führungsebene und dokumentierte Verantwortlichkeiten). Auf einer getrennten Achse müssen Sie wissen, ob die Plattform oder ihre Adressen auf einer Sanktionsliste stehen, und die Beziehung entsprechend behandeln.

Selbst gehostete Adressen betreffen alle drei Inputs und verdienen eigene schriftliche Regeln; die rechtlichen Auslöser stehen fest. Bei jedem Transfer an eine oder von einer selbst gehosteten Adresse muss der CASP die Angaben zum Originator und zum Begünstigten einholen und aufbewahren; übersteigt der Betrag EUR 1000, muss er geeignete Massnahmen ergreifen, um festzustellen, ob die Adresse im Eigentum oder unter der Kontrolle seines eigenen Kunden steht (Art. 14 Abs. 5 und Art. 16 Abs. 2 der Verordnung). Die Leitlinien zählen die zulässigen Methoden auf, von einer signierten Nachricht oder einem Testtransfer bis zur begleiteten Überprüfung, erlauben ein Whitelisting, sobald Eigentum oder Kontrolle feststehen, und behandeln den Fall, dass die Adresse einer Drittperson gehört; dann kann sich die Identifizierung auf verlässliche unabhängige Daten stützen. Transfers mit selbst gehosteten Adressen sind nicht verboten. Die Weisung muss festhalten, welche Methoden Sie akzeptieren, welche zusätzlichen risikomindernden Massnahmen nach Art. 19a der Geldwäscherichtlinie gelten und welche Transfers Sie gar nicht ausführen.

Die Fragen, an denen sich Aufsichtsgespräche entscheiden

Nach unserer Erfahrung ist die Schwäche, die in Zulassungsdossiers und Aufsichtsprüfungen wiederkehrt, die fehlende Verantwortung im eigenen Haus. Konkret: Wer hat die Risikoscore-Schwellenwerte festgelegt, bei denen Transfers blockiert oder eskaliert werden, und wo ist die Analyse, die sie anhand Ihrer eigenen Risikobewertung begründet? Wie hoch ist die Falsch-Positiv-Quote, wer klärt die Treffer ab, mit welcher Schulung und mit welcher Vier-Augen-Kontrolle? Wann haben Sie zuletzt geprüft, ob das Tool Ihren tatsächlichen Mix an Vermögenswerten und Gegenparteien abdeckt, und was hat sich daraufhin geändert? Wann wird aus einem Screening-Treffer eine Verdachtsmeldung, nach welchen Kriterien, und wie lange dauert das? Eine Antwort steht im Voraus fest: Die Risikoscore-Schwellenwerte legen Sie selbst fest, aber eine bestätigte Übereinstimmung mit einer Sanktionslistung führt zum Einfrieren und zur Meldung, was immer der Score besagt, und das Dossier sollte das zeigen. Ein CASP, der diese Fragen aus seinen eigenen Unterlagen beantworten kann, ist in einer starken Position. Ein CASP, dessen Antwort die Standardeinstellungen des Herstellers sind, hat der Aufsichtsbehörde damit gesagt, dass seine zentrale geldwäscherechtliche Kontrolle von einem Dritten kalibriert wurde, der sein Geschäft nicht kennt.

Dasselbe Dossier stützt Ihre Kontoeröffnung bei der Bank

Es gibt auch einen geschäftlichen Grund, dies sorgfältig aufzubauen. Die Risikofaktor-Leitlinien der EBA richten sich gleichermassen an CASPs und an die Banken, die sie bedienen, und sie behandeln Geschäfte mit Krypto-Anbietern, die nicht nach MiCA zugelassen sind und schwächeren Geldwäscheregimen unterstehen, als risikoerhöhenden Faktor für die Bank. Eine Bank, die einen CASP als Kunden aufnimmt, wird deshalb denselben Rahmen prüfen, der oben beschrieben ist: die Screening-Architektur, die Governance der Kalibrierung, die Weisung zu selbst gehosteten Adressen und die Messung der Exponierung gegenüber Gegenparteien.

Das Screening-Dossier ist der Kern des Bankdossiers. Für Krypto-Dienstleister in der Schweiz gilt dieselbe geschäftliche Logik, auch wenn die materiellen Regeln andere sind. Die FINMA behandelt die Krypto-Intermediation seit Jahren als Finanzintermediation, und nach ihrer Praxis zum Zahlungsverkehr auf der Blockchain (Aufsichtsmitteilung 02/2019) darf ein beaufsichtigtes Institut Transfers an eine externe Wallet oder von einer solchen nur dann ausführen, wenn die Wallet einem eigenen Kunden gehört oder einem Dritten, den es wie einen eigenen Kunden identifiziert hat; in beiden Fällen ist die Verfügungsmacht über die Wallet mit geeigneten technischen Massnahmen nachzuweisen, und die Ausnahme für unregulierte Wallets, die der FATF-Standard zulässt, gilt nicht. Eine Schweizer Bank, die einen Schweizer Krypto-Dienstleister als Kunden aufnimmt, wird das Screening-Dossier an dieser strengeren Praxis zu externen Wallets messen.

Was das für Sie bedeutet

• Verantworten Sie Ihre Kalibrierung selbst. Schwellenwerte, die Auswahl der Listen und die Zuweisung der Treffer sind Ihre Entscheide; dokumentieren Sie, weshalb sie zu Ihrer Risikobewertung passen, und überprüfen Sie diese Entscheide, wenn sich Ihr Mix an Vermögenswerten ändert.
• Schreiben Sie die Weisung zu selbst gehosteten Adressen. Eigentum oder Kontrolle oberhalb von EUR 1000, die Methoden, die Sie akzeptieren, und was Sie ablehnen: Die Verordnung und die Leitlinien nennen diesen Fall, und die Aufsichtsbehörden fragen ausdrücklich danach.
• Behandeln Sie CASPs als Gegenparteien wie Korrespondenzinstitute. Wo die Beziehung zu einem Krypto-Anbieter ausserhalb der EU rechtlich eine Korrespondenzbankbeziehung ist, gilt Art. 19b der Geldwäscherichtlinie: Zulassung oder Eintragung, Art der Geschäftstätigkeit und Qualität der Beaufsichtigung, eine Bewertung der Kontrollen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Zustimmung der Führungsebene, dokumentierte Verantwortlichkeiten und regelmässige Aktualisierung. Für jeden anderen CASP als Gegenpartei ist dasselbe Dossier gute Praxis: Zulassungsstatus, Rechtsordnung und bisherige Exponierung, in festem Turnus aktualisiert.
• Üben Sie das Verfahren bei fehlenden Angaben. Die Verordnung und die Leitlinien schreiben keine bestimmte Abfolge vor. Sie verlangen dokumentierte, risikobasierte Kriterien für den Entscheid, ob ein mangelhafter eingehender Transfer ausgeführt, zurückgewiesen, zurückgegeben oder ausgesetzt wird; eine Frist, innert der die Gegenpartei fehlende Angaben liefern muss, gerechnet ab dem Tag, an dem die Lücke festgestellt wird (höchstens drei Arbeitstage bei Transfers innerhalb der EU und fünf bei Transfers, die von ausserhalb der EU eingehen, und bis zu sieben Tage in den beiden Fällen, welche die Leitlinien nennen: eine Kette mit mehr als zwei Beteiligten einschliesslich zwischengeschalteter Stellen und Nichtbanken sowie eine Kette mit einem Anbieter mit Sitz ausserhalb der EU); eine gesonderte Meldung an die zuständige Behörde, wenn eine Gegenpartei wiederholt keine Angaben liefert, unverzüglich und spätestens drei Monate nach dieser Feststellung; und eine Verdachtsmeldung nur dann, wenn der Transfer tatsächlich verdächtig ist, wobei fehlende Angaben ein Faktor dieser Beurteilung sind. Ihre Protokolle sollten jeden Entscheid und seine Grundlage zeigen.
• Verwenden Sie das Dossier mehrfach. Der Rahmen, der den Texten der EBA genügt, ist der Rahmen, den eine Bank bei der Kundenaufnahme prüfen wird. Er stützt die Aufnahme, ohne sie zu garantieren, denn die Aufnahme bleibt der eigene geschäftliche Entscheid der Bank; bauen Sie ihn einmal, nach dem strengeren Massstab.

Isak Legal berät Anbieter von Kryptowerte-Dienstleistungen und die Institute, die sie bedienen, zum AML-Rahmen in der EU und in der Schweiz, zur Governance des Screenings und zur Vorbereitung auf die MiCA-Zulassung. Mehr dazu auf unseren Seiten Digital Assets und Sanktionen und AML, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 27. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Die Leitlinien der EBA und ihre Anwendung in der Aufsicht entwickeln sich weiter; prüfen Sie die aktuellen Texte anhand der oben verlinkten offiziellen Quellen, bevor Sie handeln. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.