Krypto Travel Rule (Verordnung (EU) 2023/1113)

Es handelt sich um die Pflichten zur Rückverfolgbarkeit, nach denen Transfers von Kryptowerten von Angaben zum Originator und zum Begünstigten begleitet werden müssen. In der EU ist dies in der Verordnung (EU) 2023/1113 geregelt, die für Transfers gilt, an denen mindestens ein in der Union niedergelassener CASP beteiligt ist. In der Praxis bedeutet das: Daten erfassen, übermitteln, validieren und Unstimmigkeiten bearbeiten.

Der zentrale Rahmen ist die Verordnung (EU) 2023/1113 (Transfer of Funds Regulation, TFR), die die frühere Verordnung (EU) 2015/847 reformiert hat, zusammen mit den EBA-Leitlinien (EBA/GL/2024/11) zu den Angaben bei Transfers von Geldern und Kryptowerten. Der internationale Referenzstandard ist die Empfehlung 16 der FATF (GAFI).

Die Verordnung (EU) 2023/1113 ist seit dem 30. Dezember 2024 anwendbar, zeitgleich mit der vollen Anwendung von MiCA. Seit diesem Datum muss jeder Transfer von Kryptowerten, an dem ein CASP aus der EU beteiligt ist, die Travel Rule erfüllen.

Angaben zum Originator (Name, Kontonummer oder DLT-Adresse und je nach Fall Anschrift, Ausweisnummer, Kundennummer oder Geburtsdatum und -ort) und zum Begünstigten (Name und Kontonummer oder Adresse). Bei juristischen Personen ist die LEI die bevorzugte Kennung. Entscheidend ist nicht nur, die Angabe zu „haben“, sondern ihre Qualität, Übermittlung, Validierung und der Umgang mit Unstimmigkeiten.

Ist eine selbst gehostete Adresse beteiligt, muss der CASP die erforderlichen Angaben einholen. Bei Transfers über 1.000 € kommt die Pflicht hinzu, zu prüfen, ob der Kunde Inhaber dieser Adresse ist oder sie kontrolliert – mit einer angemessenen und dokumentierten Methode (zum Beispiel der Signatur einer Nachricht mit dem zugehörigen Schlüssel oder einer Blockchain-Analyse), gemäß den EBA-Leitlinien.

Die Travel Rule greift, wenn mindestens ein CASP an dem Transfer beteiligt ist. Transfers ausschließlich zwischen selbst gehosteten Wallets, ohne jeden CASP, fallen in der Regel nicht in ihren Anwendungsbereich. Die Geldwäscherisiken können jedoch je nach Ihrem Modell interne Maßnahmen erfordern. Ob sie genau anwendbar ist, hängt vom Ablauf und der Rolle Ihres Unternehmens ab.

Nach den EBA-Leitlinien müssen fehlende oder unvollständige Angaben festgestellt, bei der Gegenpartei (mit Erinnerungen) angefordert werden, und es ist nach den internen Richtlinien zu entscheiden, ob der Transfer ausgeführt, zurückgewiesen oder ausgesetzt wird. Zudem ist der vorherige Anbieter in der Kette zu informieren und die Entscheidung samt Begründung zu dokumentieren.

Verstöße gegen AML/CFT-Pflichten (einschließlich der Rückverfolgbarkeit) erhöhen das Risiko von Verwaltungssanktionen, Auskunftsersuchen und operativen Beschränkungen, dazu kommen Reputationsschäden sowie Blockaden und Zurückweisungen von Transfers bei Banken und Gegenparteien. In Spanien sieht das Sanktionsregime der Geldwäscheprävention (Gesetz 10/2010) erhebliche Bußgelder für schwere und sehr schwere Verstöße vor.

Das hängt vom Einzelfall ab. Die Verordnung gilt für „Kryptowerte“ im Sinne von MiCA, die wirklich einzigartige und nicht fungible NFTs ausschließt. NFTs, die trotz scheinbarer Einzigartigkeit in Serie ausgegeben werden oder funktional fungibel sind, können jedoch in den Anwendungsbereich fallen und damit der Travel Rule unterliegen. Eine Prüfung im Einzelfall ist ratsam.

Das hängt vom Volumen, vom Geschäftsmodell (Verwahrung oder Selbstverwahrung), von der Zahl der Gegenparteien und vom Automatisierungsgrad ab. Für eine genaue Schätzung schreiben Sie uns hier.

Nicht für die allgemeine Angabepflicht: Sie gilt für alle Transfers, an denen ein CASP beteiligt ist, unabhängig vom Betrag. Die Schwelle von 1.000 € bestimmt nur, wann die Inhaberschaft oder Kontrolle einer selbst gehosteten Wallet geprüft werden muss.

Die LEI (Legal Entity Identifier, Rechtsträgerkennung) ist eine eindeutige, 20-stellige Kennung für juristische Personen, die an Finanzgeschäften beteiligt sind. Nach der TFR ist sie die bevorzugte Kennung für Originatoren, die juristische Personen sind.

Sie bilden einen doppelten Rahmen: MiCA (Verordnung 2023/1114) regelt die Dienstleistungen und die Emittenten von Kryptowerten, die TFR (Verordnung 2023/1113) regelt die Transfers. Beide sind seit dem 30. Dezember 2024 vollständig anwendbar.

Eine solide Umsetzung ist in der Regel in 2–6 Wochen einsatzbereit, je nach Volumen, Modell (Verwahrung oder Selbstverwahrung), Zahl der Gegenparteien und Automatisierungsgrad. Am meisten Zeit kosten die Erstellung der Nachweise und die End-to-End-Tests.

Ein Anbieter, der als Intermediär in die Kette eines Transfers von Kryptowerten eingebunden ist, ohne der Anbieter des Originators oder des Begünstigten zu sein. Er muss die Angaben aufbewahren, weiterleiten und Zurückweisungen bearbeiten und dabei die Rückverfolgbarkeit entlang der Kette sicherstellen.

Die Übermittlung personenbezogener Daten zwischen Anbietern muss der DSGVO (Verordnung (EU) 2016/679) entsprechen: Datenminimierung, Rechtsgrundlage und Garantien, insbesondere bei Übermittlungen in Drittländer. Dieses Gleichgewicht zwischen AML-Rückverfolgbarkeit und Datenschutz muss dokumentiert sein.

Die Travel Rule ist eine fortlaufende operative Pflicht, die jeden Transfer begleitet. Ein Rückverfolgbarkeitsbericht ist eine einmalige forensische Analyse des Weges bestimmter Gelder (zum Beispiel bei einer Ermittlung oder einem Vorfall). Beides ist verschieden und ergänzt sich.