MSTR Cat

Kryptorecht/Niveau V · Entwickler und Emittenten/5.2 Regeln für Geld und Zahlungen/Lektion 3

KYC, AML und der Bank Secrecy Act

Was ein Unternehmen im Bereich Krypto-Geldleistungen gemäß dem Bank Secrecy Act tatsächlich umsetzen muss – von Identitätsprüfungen bis hin zu Berichten über verdächtige Aktivitäten – und was die Fälle von OKX und Binance darüber zeigen, wie man Fehler macht.

Bildung statt Rechts-, Steuer- oder Anlageberatung. Das Kryptorecht unterscheidet sich von Land zu Land und von Bundesstaat zu Bundesstaat und ändert sich häufig. Prüfen Sie die an Ihrem Wohnort geltenden Regeln mit einem qualifizierten Anwalt oder Steuerberater, bevor Sie handeln.

Der schlanke Weg

Der günstigste, steuerärmste, einfachste und diskreteste Weg, den das Recht erlaubt – das Beste zuerst. Jeder Schritt nennt die Regel, auf der er beruht, und die Bedingung, unter der er rechtmäßig bleibt.

  1. Gestalten Sie das Produkt so, dass es kein Gelddienstunternehmen (Money Services Business) ist (nicht verwahrend, keine Abwicklung in Fiatwährungen, kein Kauf und Verkauf als gewerbliche Tätigkeit). Die Pflichten des Bank Secrecy Act hinsichtlich des AML-Programms sowie die Meldepflichten für SAR und CTR greifen dann nicht.
  2. Wenn Sie ein MSB sind, kann ein schriftliches, risikogewichtetes Programm gemäß 31 CFR 1022.210 intern aufgebaut werden. Die unabhängige Prüfung darf von einem Mitarbeiter durchgeführt werden, der nicht Compliance-Beauftragter ist, und muss innerhalb von 90 Tagen etabliert sein.
  3. Vermeiden Sie die Abwicklung von Bargeld, wodurch die Meldepflichten für Bargeldtransaktionen über 10.000 US-Dollar entfallen. Verdachtsmeldungen (Suspicious Activity Reports) gelten ab 2.000 US-Dollar und sind innerhalb von 30 Tagen nach Feststellung einzureichen.
  4. Bewahren Sie die vorgeschriebenen Aufzeichnungen fünf Jahre lang in einem einzelnen, durchsuchbaren Archiv auf. Das ist kostengünstiger als der Wiederaufbau während einer Prüfung und es ist das Beweismaterial, das Regulierungsbehörden zuerst anfordern.
  5. Ein schriftliches Verbot für US-Kunden ist kein Schutzschild; OKX zahlte über 504 Millionen US-Dollar, obwohl ein solches bestand. Schließen Sie einen Markt entweder tatsächlich aus, etwa durch Überprüfung der KYC-Nationalität und des Wohnsitzes, oder erfüllen Sie die dortigen Pflichten.

Materialien31 CFR 1022.210, die Vorschriften zum Anti-Geldwäsche-Programm für Gelddienstleistungsunternehmen (auf ecfr.gov)31 CFR 1022.320, Meldungen über verdächtige Aktivitäten durch GelddienstleistungsunternehmenDie Pressemitteilung des Justizministeriums vom 24. Februar 2025 über das Schuldbekenntnis von OKXIhr eigener Onboarding-Prozess für Kunden, Schritt für Schritt beschrieben

Neugier

  1. Was genau erfordert ein „effektives AML-Programm“ von einem kleinen Kryptogeschäft?
  2. Schützt eine Richtlinie, die US-Kunden verbietet, einen Offshore-Börsenanbieter, der sie dennoch bedient?
  3. Wer wird bestraft, wenn das Programm fehlschlägt: das Unternehmen, die Gründer oder beide?

Erkunden

  1. „Know Your Customer“ (KYC) bedeutet, herauszufinden und zu überprüfen, wer ein Kunde ist; „Anti-Money-Laundering“-Maßnahmen (AML) umfassen eine breitere Reihe von Kontrollen, die dazu dienen, zu verhindern, dass ein Unternehmen zur Reinigung krimineller Gelder genutzt wird. In den USA stammen beide Konzepte aus dem Bank Secrecy Act von 1970 sowie den darunterliegenden Vorschriften von FinCEN (Lektion 1.3.4). Für ein Krypto-Unternehmen, das als Gelddienstleister gilt (Lektion 5.2.1), gilt die zentrale Vorschrift 31 CFR 1022.210: Es muss ein wirksames, schriftliches AML-Programm entwickeln, umsetzen und aufrechterhalten, das angemessen darauf ausgelegt ist, eine Nutzung zum Geldwäsche- oder Terrorismusfinanzierungszweck zu verhindern – wobei dieses Programm den Risiken hinsichtlich Standort, Größe, angebotener Dienstleistungen und Volumen angepasst sein muss.
  2. Die Vorschriften legen vier Mindestbestandteile fest. Erstens: Richtlinien, Verfahren und interne Kontrollmechanismen – einschließlich der Überprüfung der Kundenidentität, der Erstellung von Berichten, der Aufbewahrung von Unterlagen sowie der Reaktion auf Anfragen der Strafverfolgungsbehörden. Zweitens: Eine benannte Person, die für die tägliche Einhaltung der Vorschriften verantwortlich ist. Drittens: Schulungen für das entsprechende Personal, einschließlich Schulungen zur Erkennung verdächtiger Transaktionen. Viertens: Eine unabhängige Überprüfung des Programms, die ein Mitarbeiter durchführen kann – sofern er nicht der Compliance-Beauftragte ist. Ein neues Unternehmen muss sein Programm innerhalb von 90 Tagen nach seiner Gründung etabliert haben. Banken haben eine separate, detaillierte Vorschrift zur Kundenidentifizierung; bei Unternehmen im Gelddienstleistungsbereich fällt die Identitätsüberprüfung in diese Programmvorschrift.
  3. Das Programm liefert Berichte. Ein Unternehmen im Gelddienstleistungsbereich muss einen Bericht über verdächtige Aktivitäten (SAR) einreichen, wenn es um eine Transaktion von mindestens 2.000 Dollar geht, von der es weiß, vermutet oder Grund zu der Annahme hat, dass illegale Mittel beteiligt sind, die darauf abzielen, eine Meldung zu umgehen, oder keine offensichtliche rechtmäßige Zweckbestimmung haben. Der Bericht muss innerhalb von 30 Kalendertagen nach Erkennen der Umstände eingereicht werden (31 CFR 1022.320). Für Bargeldtransaktionen über 10.000 Dollar ist ein Bericht über Währungstransaktionen erforderlich (31 CFR 1010.311) – was dort gilt, wo physisches Bargeld verwendet wird, wie beispielsweise in Kiosken. Die erforderlichen Aufzeichnungen müssen in der Regel fünf Jahre aufbewahrt werden (31 CFR 1010.430), weshalb Geldwechselstellen Daten zu Kontoeinrichtung und Transaktionen lange Zeit nach Schließung des Kontos speichern.
  4. Der OKX-Fall zeigt, worauf Regulierungsbehörden achten. Am 24. Februar 2025 bekannte sich der auf den Seychellen ansässige Betreiber des Börsenunternehmens in New York schuldig, einen unlizenzierten Geldübertragungsdienst betrieben zu haben, und stimmte zu, mehr als 504 Millionen Dollar zu zahlen. Laut seinen Geständnissen gab es bei OKX bereits seit 2017 eine offizielle Richtlinie gegen US-Kunden – dennoch suchte das Unternehmen nach Kunden aus den USA; bis etwa November 2022 konnten Privatkunden Konten eröffnen und handeln, ohne ein KYC-Verfahren durchlaufen zu müssen; der Blockierung von US-Internetadressen konnte mit günstigen VPNs umgangen werden; und im Jahr 2023 schlug ein Mitarbeiter vor, dass ein US-Kunde eine andere Nationalität angeben solle. Eine schriftliche Verbotsmaßnahme zählt wenig, wenn das Unternehmen weiß, dass die von ihm verbotenen Kunden dort sind.
  5. Fehler betreffen sowohl Einzelpersonen als auch Unternehmen. Binance-Gründer Changpeng Zhao bekannte sich im November 2023 schuldig, kein wirksames AML-Programm aufrechterhalten zu haben – als Teil der Vereinbarung, die in Lektion 1.3.4 beschrieben wird – und wurde am 30. April 2024 zu vier Monaten Gefängnis verurteilt; Präsident Trump begnadigte ihn am 23. Oktober 2025. Am 27. Januar 2025 bekannte sich die Börse KuCoin schuldig, einen unlizenzierten Geldübertragungsdienst betrieben zu haben, und stimmte zu, fast 300 Millionen Dollar zu zahlen. Eine Begnadigung beendet die Strafe einer Person; sie ändert nicht die Pflichten, die der Bank Secrecy Act für alle heute tätigen Unternehmen vorschreibt.
  6. Die Liste der erfassten Unternehmen wächst stetig. Das GENIUS-Gesetz macht zugelassene Emittenten von Zahlungs-Stablecoins zu Finanzinstituten im Sinne des Bank Secrecy Act (Lektion 3.2.4), und am 10. April 2026 schlugen FinCEN und OFAC gemeinsam die Programmregeln für diese vor; der Vorschlag war zum Oktober 2026 noch nicht endgültig. Für Entwickler hängen die Pflichten davon ab, was ein Unternehmen tut, nicht davon, wie es sich selbst bezeichnet. Ein praktischer Check: Markieren Sie in einem Diagramm jeden Punkt, an dem Bargeld ein- oder ausgeht, oder an dem Ihr Unternehmen die Schlüssel der Kunden kontrolliert, und notieren Sie für jeden Punkt, wer die Identität überprüft, wer auf verdächtige Aktivitäten achtet und wo die Aufzeichnungen aufbewahrt werden.

Kernfakten

  • Gemäß 31 CFR 1022.210 muss ein Unternehmen im Gelddienstleistungsbereich ein schriftliches Anti-Geldwäsche-Programm führen, das wirksam ist und vernünftigerweise darauf ausgelegt ist, Geldwäsche zu verhindern.
  • Die MSB-Programmregel verlangt interne Kontrollen, eine benannte Compliance-Person, Schulungen sowie eine unabhängige Überprüfung.
  • Ein Gelddienstleistungsunternehmen muss verdächtige Transaktionen im Wert von mindestens 2.000 Dollar innerhalb von 30 Kalendertagen nach der ersten Entdeckung melden.
  • Betragsberichte für Währungstransaktionen sind bei Bargeldtransaktionen über 10.000 US-Dollar erforderlich.
  • Am 24. Februar 2025 gestand OKX, einen lizenzfreien Geldüberweisungsdienst betrieben zu haben, und willigte ein, mehr als 504 Millionen Dollar zu zahlen.
  • Changpeng Zhao wurde am 30. April 2024 zu vier Monaten Gefängnis verurteilt und am 23. Oktober 2025 begnadigt.

Übung neun, sechs, drei, eins

9SammelnListen Sie bis zu 9 Anforderungen auf, die Sie bei der Eröffnung oder Nutzung eines Krypto-Kontos erfüllt haben, wie zum Beispiel das Hochladen eines Ausweisdokuments, ein Selfie, eine Frage zur Herkunft des Kapitals, ein Stopp von Auszahlungen oder eine Aufforderung, einen Überweisungsvorgang zu erklären (einige Listen sind kürzer).
6GruppierenOrdnen Sie sie in 6 Kategorien ein: Identitätsüberprüfung, kontinuierliche Überwachung, Nachverfolgung verdächtiger Aktivitäten, regelungen im Zusammenhang mit Bargeld, Aufzeichnungspflichten sowie Kontrollen, die man nicht erklären kann.
3VerdichtenReduzieren Sie die 6 auf 3 Gruppen: Überprüfungen, die durch die Vorschriften des AML-Programms erforderlich sind, Überprüfungen, die aus Berichtspflichten resultieren, und Überprüfungen, die den eigenen Risikoeinschätzungen der Plattform entsprechen.
1KristallisierenSchreiben Sie einen Satz, der in Ihren eigenen Worten erklärt, warum eine Richtlinie, die bestimmte Kunden ausschließt, OKX nicht geschützt hat.

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

In der interaktiven Akademie öffnen →

EN PT ES ZH JA KO RU FR MS