AMLA und EU-Geldwäschepaket: Was sich für Krypto-Dienstleister ändert

Das EU-Geldwäschepaket im Überblick

Das Paket besteht aus drei Rechtsakten, die am 19. Juni 2024 im Amtsblatt der EU veröffentlicht wurden. Die Verordnung (EU) 2024/1624, kurz AMLR, enthält die Pflichten der Verpflichteten, also Sorgfaltspflichten, interne Kontrollen und Meldepflichten. Sie gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten; für Profifußballvereine und Spielervermittler gilt sie erst ab 10. Juli 2029. Die Richtlinie (EU) 2024/1640, oft als sechste Geldwäscherichtlinie bezeichnet, regelt vor allem die nationale Aufsicht, die Zentralstellen für Finanztransaktionsuntersuchungen und Register. Sie ist im Grundsatz bis zum 10. Juli 2027 in nationales Recht umzusetzen, einzelne Vorschriften bereits früher oder später. Die Verordnung (EU) 2024/1620 schließlich errichtet die AMLA.

Für deutsche Institute bedeutet der Wechsel zur Verordnung, dass weite Teile der heutigen Pflichten aus dem Geldwäschegesetz künftig unmittelbar aus dem EU-Recht folgen. Das nationale Recht muss entsprechend angepasst werden. Kryptowerte-Dienstleister im Sinne der MiCA-Verordnung gehören ausdrücklich zu den Verpflichteten der AMLR.

Die EU-Geldwäschebehörde AMLA

Aufbau und Auftrag

Die AMLA hat ihren Sitz in Frankfurt am Main und ist seit dem 1. Juli 2025 operativ tätig. Laut ihrem Arbeitsprogramm für 2026 bis 2028 baut sie ihr Personal in diesem Zeitraum deutlich aus, um bis 2028 voll einsatzfähig zu sein. Ihr Auftrag umfasst drei Bereiche: die Entwicklung eines einheitlichen Regelwerks durch technische Standards und Leitlinien, die Koordination und Überwachung der nationalen Aufseher sowie die direkte Aufsicht über ausgewählte Institute. Hinzu kommt die Unterstützung der nationalen Meldestellen, etwa durch gemeinsame Analysen.

Bis die neuen AMLA-Instrumente in Kraft treten, gelten die bisherigen Leitlinien und Standards der EBA weiter, darunter die Leitlinien zu Geldwäsche-Risikofaktoren und zur Travel Rule. Institute sollten ihre heutigen Prozesse also nicht vorschnell umstellen, sondern gezielt auf die kommenden Änderungen vorbereiten.

Direkte Aufsicht ab 2028

Die AMLA wählt Kredit- und Finanzinstitute aus, die sie unmittelbar beaufsichtigt. In die Bewertung einbezogen werden Institute, die in mindestens sechs Mitgliedstaaten einschließlich des Herkunftsmitgliedstaats tätig sind, entweder über Niederlassungen oder im freien Dienstleistungsverkehr (Art. 12 AMLAR). Ausgewählt werden diejenigen, deren Restrisikoprofil als hoch eingestuft wird. Die erste Auswahl muss spätestens am 1. Juli 2027 beginnen und innerhalb von sechs Monaten abgeschlossen sein. Die direkte Aufsicht beginnt sechs Monate nach Veröffentlichung der Liste (Art. 13 AMLAR). Die AMLA rechnet in ihrem Arbeitsprogramm mit 40 direkt beaufsichtigten Instituten ab 2028.

Gerade Kryptowerte-Dienstleister, die ihre MiCA-Zulassung nutzen, um Kunden in vielen Mitgliedstaaten zu bedienen, sollten prüfen, ob sie in den Anwendungsbereich der Auswahl fallen können. Wann ein Institut im freien Dienstleistungsverkehr als in einem Mitgliedstaat tätig gilt, regelt ein technischer Standard, dessen finaler Entwurf die AMLA im Dezember 2025 vorgelegt hat. Er sieht Schwellenwerte bei der Zahl der Kunden und dem Transaktionsvolumen je Mitgliedstaat vor. Alle übrigen Institute bleiben unter der Aufsicht der nationalen Behörden, in Deutschland der BaFin, die ihrerseits von der AMLA überwacht und koordiniert werden.

Neue Pflichten für Kryptowerte-Dienstleister

Sorgfaltspflichten und Schwellen

Kryptowerte-Dienstleister müssen bei gelegentlichen Transaktionen ab 1.000 Euro die vollständige Sorgfaltsprüfung durchführen; unterhalb dieser Schwelle sind zumindest Identifizierungsmaßnahmen vorgeschrieben (Art. 19 Abs. 3 AMLR). Bei Verdacht gelten die Pflichten unabhängig von jeder Schwelle. Wie Geschäftsbeziehungen, gelegentliche und verbundene Transaktionen voneinander abzugrenzen sind, konkretisiert ein technischer Standard, den die AMLA am 1. Oktober 2026 finalisiert hat und der auch sektorspezifische Vorgaben für Kryptowerte-Dienstleister enthält.

Self-hosted Adressen

Neu ist eine eigene Vorschrift für Transfers von oder zu Self-hosted Adressen (Art. 40 AMLR). Kryptowerte-Dienstleister müssen die damit verbundenen Risiken bewerten und risikoangemessene Maßnahmen treffen. Dazu können die Identifizierung von Auftraggeber oder Begünstigtem, zusätzliche Angaben zu Herkunft und Ziel der Kryptowerte oder eine verstärkte laufende Überwachung gehören. Die AMLA muss bis zum 10. Juli 2027 Leitlinien dazu erlassen, auch dazu, wie geprüft wird, ob ein Kunde eine Adresse besitzt oder kontrolliert. Diese Vorgaben ergänzen die Informationspflichten der Geldtransferverordnung, die wir im Beitrag zur Travel Rule für Kryptowerte erläutern.

Verbot anonymer Konten

Kreditinstitute, Finanzinstitute und Kryptowerte-Dienstleister dürfen keine anonymen Kryptowertekonten führen und auch keine Konten, die eine Anonymisierung oder verstärkte Verschleierung von Transaktionen ermöglichen, einschließlich über sogenannte Anonymity-Enhancing Coins (Art. 79 AMLR). Anbieter, die solche Token heute unterstützen, sollten ihr Angebot rechtzeitig überprüfen.

Korrespondenzbeziehungen und Scheininstitute

Für grenzüberschreitende Korrespondenzbeziehungen mit Kryptowerte-Dienstleistern außerhalb der EU gelten verstärkte Sorgfaltspflichten (Art. 37 AMLR). Dazu gehören die Prüfung von Lizenz oder Registrierung, eine Bewertung der Kontrollen des Partners und die Zustimmung der Geschäftsleitung. Die AMLA muss hierzu ebenfalls bis zum 10. Juli 2027 Leitlinien erlassen. Zudem müssen Kryptowerte-Dienstleister verhindern, dass ihre Konten von Scheininstituten oder für nicht regulierte Kryptodienstleistungen genutzt werden (Art. 39 AMLR).

Verdachtsmeldungen und Informationsaustausch

Auch das Meldewesen wird stärker vereinheitlicht. Die AMLA arbeitet an technischen Durchführungsstandards zum Format von Verdachtsmeldungen und zur Übermittlung von Transaktionsaufzeichnungen nach Art. 69 Abs. 3 AMLR; die Konsultation dazu ist abgeschlossen. Laut ihrem Arbeitsprogramm wird die AMLA bis Juli 2027 außerdem Leitlinien zu Indikatoren für verdächtige Aktivitäten veröffentlichen, die sich an Meldestellen und Verpflichtete gleichermaßen richten. Für Kryptowerte-Dienstleister ist das relevant, weil heute viele Institute mit eigenen, teils sehr unterschiedlichen Indikatorkatalogen arbeiten.

Ab dem 10. Juli 2027 ist zudem Art. 75 AMLR anwendbar, der Partnerschaften für den Informationsaustausch zwischen Verpflichteten regelt. Damit entsteht ein ausdrücklicher Rechtsrahmen, in dem Institute unter bestimmten Voraussetzungen Informationen zu Geldwäscherisiken teilen können. Gerade im Kryptobereich, wo Mittel innerhalb von Minuten zwischen mehreren Dienstleistern wandern, kann dieser Austausch die Erkennung von Netzwerken verbessern. Wer eine Teilnahme erwägt, sollte Datenschutz, Governance und interne Zuständigkeiten frühzeitig klären.

Der Zeitplan bis 2027 und darüber hinaus

Die drei am 1. Oktober 2026 finalisierten Entwürfe technischer Regulierungsstandards betreffen die Sorgfaltsprüfung (Art. 28 Abs. 1 AMLR), die Abgrenzung von Geschäftsbeziehungen und Transaktionen einschließlich niedrigerer Schwellen (Art. 19 Abs. 9 AMLR) sowie gruppenweite Mindestanforderungen. Sie wurden der Europäischen Kommission zur Annahme übermittelt, die sie noch ändern kann. Die AMLA schlägt nach Angaben der luxemburgischen Aufsicht CSSF jeweils eine Übergangsfrist von sechs Monaten ab Inkrafttreten vor. Konsultationen zu Leitlinien über die laufende Überwachung von Geschäftsbeziehungen und die institutsweite Risikoanalyse sind abgeschlossen; die finalen Fassungen stehen noch aus. Für Ende 2026 erwartet die AMLA zudem einen Beratungsauftrag der Kommission zur Geldtransferverordnung, der bis Ende 2027 zu beantworten ist.

Was Institute jetzt tun sollten

Führen Sie eine Lückenanalyse zwischen Ihren heutigen Prozessen und den Anforderungen der AMLR durch und beziehen Sie die finalen Entwürfe der AMLA ein. Die CSSF hat Institute ausdrücklich aufgefordert, die Entwürfe bereits jetzt zu prüfen und mit Vorarbeiten in Compliance und IT zu beginnen. Das gilt besonders für Datenfelder in der Kundenannahme, die Abgrenzung verbundener Transaktionen und die Prozesse für Self-hosted Adressen.

Prüfen Sie Ihr Token-Angebot auf Werte mit erhöhter Anonymität und planen Sie, falls nötig, deren Auslaufen. Klären Sie, ob Ihr Institut aufgrund seiner grenzüberschreitenden Tätigkeit für die direkte AMLA-Aufsicht in Betracht kommt, und bereiten Sie in diesem Fall Daten und Governance auf eine intensivere Aufsicht vor. Verfolgen Sie außerdem die Anpassung des deutschen Geldwäscherechts, da einzelne nationale Vorschriften entfallen oder sich ändern werden. Schließlich sollten Geschäftsleitung und Fachbereiche frühzeitig geschult werden, damit die Umstellung nicht allein bei der Compliance-Funktion liegt. Wie typische Red Flags im Monitoring abgebildet werden, lesen Sie in unserem Beitrag zu Red Flags für Geldwäsche bei Kryptowerten.

Weiterbildung zum neuen Regelwerk

Das EU-Geldwäschepaket verändert Rollen und Abläufe in vielen Bereichen eines Instituts. Die TheClueX-Spezialisierung Compliance und AML vermittelt Fachkräften das Zusammenspiel von MiCA, Geldtransferverordnung und AMLR; für Leitungsorgane gibt es ein eigenes Format, das Sie über unsere Zertifizierungen finden.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts-, Steuer- oder Anlageberatung im Einzelfall. Stand: 27. Oktober 2026.