Binance, Russland und Nutzerdaten: Was der Fall Belenkiy für AML- und KYC-Compliance bedeutet

Binance soll russischen Ermittlern detaillierte personenbezogene Daten eines Kunden zur Verfügung gestellt haben, der anschließend wegen Terrorismusfinanzierung angeklagt wurde, weil er kleine Beträge an ukrainische Gruppen gespendet hatte. Der Fall, über den Reuters berichtete und der von CoinDesk aufgegriffen wurde, ist nicht nur eine geopolitische Geschichte. Er ist ein Compliance-Stresstest für jede Wirtschaftsprüfungsgesellschaft, jeden Auditor und jeden CFO, dessen Kunden Konten bei zentralisierten Börsen halten – überall dort, wo eine Regierung mit umstrittenen Rechtsstandards eine Datenanfrage stellen und eine Antwort erhalten kann.

Was die Dokumente zeigen

Laut einem Bericht von Reuters, der Strafverfolgungsdokumente auswertete, die von The First Department, einer russischen Organisation, die Angeklagte in politischen Fällen unterstützt, beschafft wurden, hat Binance mindestens zweimal auf Anfragen des russischen Untersuchungsausschusses reagiert. Die Dokumente stammen von einem Verwandten des Betroffenen, Yuri Belenkiy, einem russischen IT-Spezialisten.

Die offengelegten personenbezogenen Daten

Die angeblich übergebenen Daten gingen weit über Transaktionsaufzeichnungen hinaus. Die Ermittler erhielten Berichten zufolge Belenkiys Geburtsdatum, Wohnadresse, Telefonnummer und Passnummer sowie Kopien seines russischen Passes und seiner bulgarischen Aufenthaltserlaubnis. Binance identifizierte ihn auch als Urheber von Überweisungen in Höhe von insgesamt mehr als 700 US-Dollar, so Reuters.

Der zugrunde liegende Vorwurf

Die russischen Behörden werfen Belenkiy vor, zwischen Januar 2023 und März 2024 Zahlungen geleistet zu haben, nachdem der im Exil lebende Kremlkritiker Arkady Babchenko einen Aufruf gestartet hatte. Die Gelder sollen dem ukrainischen Militär und einer mit der Asow-Brigade verbundenen Gruppe zugeflossen sein. Moskau stuft die Asow-Brigade als terroristische Organisation ein, eine Einstufung, die von der EU, den USA und den meisten westlichen Staaten nicht anerkannt wird. Der Vorwurf der Terrorismusfinanzierung gegen Belenkiy ergibt sich direkt aus dieser innerstaatlichen Einstufung.

Die Korrespondenz mit Binance soll angeblich an case@binanceholdings.ru gesendet worden sein, eine Adresse, die auf der eigenen Website von Binance für russische und belarussische Strafverfolgungsbehörden aufgeführt war.

Binancess Position und der Russland-Ausstieg 2023

Binance verkaufte sein Russlandgeschäft im September 2023 und erklärte öffentlich, dass ein weiteres Engagement dort nicht mehr mit seiner Compliance-Strategie vereinbar sei. Die Börse erklärte damals, dass sie keine Umsatzbeteiligung oder Option zum Rückkauf des Geschäfts behalten werde. Dieser Ausstieg wurde weithin als bewusster Versuch gelesen, Sanktions- und AML-Risiken zu reduzieren.

Die Lücke zwischen Ausstieg und Datenaufbewahrung

Die Belenkiy-Zeitleiste verkompliziert diese Darstellung. Die mutmaßlichen Überweisungen fanden zwischen Januar 2023 und März 2024 statt, was bedeutet, dass einige Aktivitäten sowohl vor als auch nach dem Russland-Ausstieg erfolgten. Die Datenanfragen der russischen Ermittler und die angeblichen Antworten von Binance erstrecken sich daher über die Übergangsphase. Dies wirft Fragen auf: Welche Daten hat Binance nach dem Ausstieg weiterhin aufbewahrt? Nach welchem Rechtsrahmen wurden diese Daten gespeichert? Und welches Recht galt für die Pflichten der Börse, als die russischen Ermittler ihre Anfragen stellten?

Binance hat öffentlich erklärt, dass es mit rechtmäßigen Strafverfolgungsanfragen zusammenarbeitet, vorbehaltlich geltender gesetzlicher, Datenschutz- und Regulierungsanforderungen. Die Börse lehnte es ab, sich konkret zu Belenkiys Fall zu äußern oder zu bestätigen, ob die Offenlegungen mit europäischen Datenschutzbestimmungen kollidieren könnten. CoinDesk berichtete, dass es zum Zeitpunkt der Veröffentlichung keine Antwort von Binance erhalten hatte.

Warum dies ein AML- und KYC-Problem ist, nicht nur ein PR-Problem

Wirtschaftsprüfungsgesellschaften und CFOs könnten versucht sein, dies als Reputationsproblem für Binance zu betrachten und weiterzuziehen. Das wäre ein Fehler. Der Fall legt strukturelle Spannungen innerhalb der Datenaustauschrahmen offen, die der KYC- und AML-Compliance für jedes Unternehmen zugrunde liegen, das zentralisierte Börsen als Teil seiner digitalen Asset-Infrastruktur nutzt.

Wessen "rechtmäßige Anfrage" gilt?

Die zentrale Compliance-Frage hier ist definitorischer Natur. Wenn Binance sagt, es reagiere auf "rechtmäßige" Anfragen, leistet das Wort "rechtmäßig" enorme Arbeit. Eine Anfrage des russischen Untersuchungsausschusses kann nach russischem innerstaatlichem Recht rechtmäßig sein. Sie kann jedoch mit der EU-Datenschutz-Grundverordnung unvereinbar sein, wenn die Person ihren Wohnsitz in Europa hat, wie Belenkiy durch seine bulgarische Aufenthaltserlaubnis. Sie kann darüber hinaus gegen den Geist, wenn nicht sogar den Buchstaben, der westlichen Sanktionspolitik verstoßen, wenn die Strafverfolgung politisch motiviert ist und die mutmaßliche Straftat in keiner EU- oder G7-Jurisdiktion eine Straftat darstellen würde.

Für Unternehmen, die sich darauf verlassen, dass Börsen als erste Verteidigungslinie der KYC-Pflichten dienen, ist dieser Fall eine Erinnerung daran, dass die Definition einer rechtmäßigen Anfrage der Börse und die Definition Ihrer Jurisdiktion möglicherweise nicht übereinstimmen. Diese Lücke ist eine Compliance-Verpflichtung, keine Abstraktion.

DSGVO-Exposition für EU-bezogene betroffene Personen

Belenkiy besaß die bulgarische Aufenthaltserlaubnis, was ihn in den territorialen Anwendungsbereich der DSGVO bringt. Artikel 48 der DSGVO beschränkt die Übermittlung personenbezogener Daten an Behörden eines Drittlandes ohne Angemessenheitsbeschluss, geeignete Garantien oder eine anerkannte Ausnahme. Russland hat keinen EU-Angemessenheitsbeschluss. Wenn Binance seine Daten ohne eine gültige Rechtsgrundlage nach EU-Recht verarbeitet und offengelegt hat, drohen der Börse potenzielle Konsequenzen im Rahmen der DSGVO-Durchsetzungsmechanismen. Jedes Unternehmen, das Kundendaten mit Börsen teilt, die unter ähnlichen Richtlinien operieren, erbt eine Reputations- und Due-Diligence-Dimension dieses Risikos.

Die Asymmetrie der Terrorismus-Einstufung

Moskaus Einstufung der Asow-Brigade als terroristische Organisation wird von der EU, den USA und Großbritannien nicht gespiegelt. Diese Asymmetrie ist für das AML-Screening von großer Bedeutung. Unternehmen, die Krypto-Buchhaltungssoftware oder digitale Asset-Buchhaltungssoftware verwenden, die sich auf Sanktions- und Terrorismusfinanzierungslisten stützt, müssen sicherstellen, dass diese Listen die Einstufungen ihres Heimatlandes widerspiegeln, nicht die Einstufungen von Drittstaatenregierungen. Andernfalls können falsch positive Ergebnisse entstehen, die legitime Transaktionen einfrieren oder schlimmer noch, eine Compliance-Papierspur erzeugen, die eine Billigung eines fremden Einstufungsstandards impliziert.

Was Wirtschaftsprüfungsgesellschaften und CFOs jetzt tun sollten

Dieser Fall erfordert nicht, dass Unternehmen die Nutzung zentralisierter Börsen einstellen. Er erfordert jedoch, Börsenbeziehungen als eine Compliance-Risikokategorie zu behandeln, nicht als neutrale operative Wahl. Die folgenden Schritte basieren auf den Fakten dieses Falls und bestehenden regulatorischen Erwartungen gemäß den EU-Geldwäscherichtlinien und der DSGVO.

Überprüfen Sie die Datenweitergaberichtlinien der Börse im Rahmen der Lieferanten-Due-Diligence

Die meisten Unternehmen führen KYC für ihre eigenen Kunden durch, wenden jedoch nicht dieselbe Sorgfalt auf die Börsen an, die ihre Kunden nutzen. Eine grundlegende Lieferanten-Due-Diligence-Prüfung einer großen Börse sollte nun deren veröffentlichte Richtlinie zur Zusammenarbeit mit Strafverfolgungsbehörden umfassen: Auf welche Jurisdiktionen reagiert sie, welche rechtliche Schwelle wendet sie vor der Offenlegung personenbezogener Daten an, und wurde ihre erklärte Richtlinie vor Gericht oder durch Aufsichtsbehörden getestet? Wenn eine Börse eine dedizierte E-Mail-Adresse für Anfragen russischer oder belarussischer Strafverfolgungsbehörden aufführt, ist dies eine wesentliche Information.

Kartieren Sie das Kunden-Exposure in Jurisdiktionen mit abweichenden Rechtsstandards

Kunden mit doppelter Staatsbürgerschaft, Offshore-Konten oder Geschäftstätigkeiten in Jurisdiktionen, die mit EU- oder britischem Recht kollidieren, weisen ein erhöhtes Profil auf. Der Fall Belenkiy ist ein konkretes Beispiel dafür, wie eine bulgarische Aufenthaltserlaubnis und ein russischer Pass, kombiniert mit einem Krypto-Konto bei einer globalen Börse, mit der russischen Strafverfolgung in einer Weise kollidieren können, die kein westlicher Compliance-Rahmen vorhergesehen hat. Unternehmen, die Krypto-Buchhaltungssoftware für mandanten mit mehreren Jurisdiktionen führen, sollten diese Kombination kennzeichnen und ihre Bewertung dokumentieren.

Trennen Sie AML-Screening-Listen nach Jurisdiktion

Wenn Ihr AML- oder Transaktionsüberwachungsprozess eine Drittanbieterliste enthält, die Einstufungen von Nicht-EU-, Nicht-UK- oder Nicht-US-Behörden umfasst, prüfen Sie diese jetzt. Der Vorwurf der Terrorismusfinanzierung gegen Belenkiy würde nach westlichem Recht nicht existieren. Jedes Screening-Tool, das Moskaus Asow-Einstufung als gleichwertig mit einer UN- oder OFAC-Listung behandelt, importiert einen Rechtsstandard, der mit den Pflichten Ihres Heimatlandes kollidiert und Ihr Unternehmen Reputations- und Regulierungsrisiken aussetzen könnte.

Dokumentieren Sie die geopolitische Dimension in Ihrer Risikobereitschaftserklärung

Die EU-Geldwäscherichtlinien, einschließlich der im Rahmen des kommenden AMLA-Rahmens verschärften, verlangen von Unternehmen, ihre Risikobereitschaft zu artikulieren und bei höherem Risiko eine verstärkte Sorgfaltspflicht anzuwenden. Der Datenfall Binance-Russland ist nun eine öffentliche Tatsache. Es wäre schwer zu verteidigen, in Ihrer dokumentierten Risikobereitschaft, insbesondere für Kunden mit russischen oder belarussischen Verbindungen, geopolitikbedingte Strafverfolgungsrisiken nicht anzuerkennen – im Rahmen einer Aufsichtsprüfung.

Für weitere Informationen darüber, wie russisch geprägte Krypto-Ströme mit Sanktionsumgehung verbunden sind, lesen Sie unsere frühere Berichterstattung über was die A7-Stablecoin-Leaks über russische Sanktionsumgehung und AML-Lücken offenbarten. Zu den Analysetools für Compliance-Teams legt unser Beitrag über wie Blockchain-Analysetools die AML-Compliance für Wirtschaftsprüfungsgesellschaften neu gestalten den aktuellen Stand der On-Chain-Überwachung dar.

Das breitere Signal für die Branche

Der Fall Belenkiy wird wahrscheinlich nicht der letzte seiner Art sein. Mit der Ausweitung der Krypto-Adoption in Jurisdiktionen mit autoritären Rechtssystemen wird sich die Spannung zwischen der Verpflichtung einer globalen Börse zur Zusammenarbeit mit lokalen Strafverfolgungsbehörden und ihren Verpflichtungen nach EU-, US- oder britischem Recht wiederholen. Der Fall zeigt auch ein strukturelles Merkmal zentralisierter Börsen auf, das in Compliance-Diskussionen oft unterbewertet wird: Sie sind Speicher hochsensibler personenbezogener Daten, und diese Daten verschwinden nicht, wenn eine Börse einen Markt verlässt.

Für Wirtschaftsprüfungsgesellschaften und CFOs, die jede Form von Krypto-Buchhaltungssoftware zur Verwaltung digitaler Asset-Positionen nutzen, ist die relevante Frage nicht, ob Ihre Börse in diesen spezifischen Fall verwickelt war. Die Frage ist, ob Sie die Richtlinien zur Offenlegung gegenüber Strafverfolgungsbehörden jeder Börse, die Ihre Kunden nutzen, überprüft haben und ob diese Richtlinien mit den Datenschutz- und AML-Pflichten Ihrer Jurisdiktion vereinbar sind. Wenn diese Überprüfung nicht stattgefunden hat, gibt Ihnen dieser Fall die Gründe und die Dringlichkeit, sie einzuleiten.

Häufig gestellte Fragen

Hat Binance gegen EU-Recht verstoßen, indem es Belenkiys Daten an russische Behörden weitergegeben hat?

Das bleibt unbestätigt und hängt wahrscheinlich von der spezifischen Rechtsgrundlage ab, auf die sich Binance berufen hat. Artikel 48 der DSGVO beschränkt die Übermittlung personenbezogener Daten an ausländische Behörden ohne ausreichende Rechtsgrundlage. Russland besitzt keinen EU-Angemessenheitsbeschluss. Binance hat die angewandte Rechtsgrundlage nicht öffentlich bestätigt, und kein EU-Regulierer hat bisher eine Untersuchung angekündigt. Die Frage ist aktuell und ungelöst.

Betrifft dies Unternehmen, die Binance nicht direkt nutzen?

Ja, indirekt. Der Fall etabliert einen dokumentierten Präzedenzfall, dass große Börsen auf Strafverfolgungsanfragen aus Jurisdiktionen mit abweichenden rechtlichen und politischen Standards reagieren werden. Jedes Unternehmen, dessen Kunden zentralisierte Börsen nutzen, ist derselben strukturellen Exposition ausgesetzt, unabhängig davon, welche Börse beteiligt ist, wenn diese Börse in politisch sensiblen Jurisdiktionen tätig ist oder Daten speichert, die damit verbunden sind.

Ist die Spende an ukrainische Gruppen nach internationalem Recht eine Straftat?

Nicht nach EU-, US- oder britischem Recht. Die Anklage gegen Belenkiy basiert auf Russlands innerstaatlicher Einstufung der Asow-Brigade als terroristische Organisation, eine Einstufung, die von westlichen Regierungen oder internationalen Gremien nicht anerkannt wird. Westliche AML-Rahmen würden solche Spenden nicht als Terrorismusfinanzierung kennzeichnen.

Was sollten Unternehmen tun, wenn ein Kunde Konten bei einer Börse hat, die eine russische oder belarussische Strafverfolgungskontaktadresse aufführt?

Behandeln Sie dies als Indikator für erhöhtes Risiko in Ihrem Lieferanten-Due-Diligence-Prozess. Dokumentieren Sie Ihre Bewertung, prüfen Sie, ob eine verstärkte Sorgfaltspflicht für diese Kundenbeziehung gilt, und überprüfen Sie die Pflichten Ihres Unternehmens gemäß den geltenden Datenschutz- und AML-Regeln. Wenn der Kunde in der EU ansässig ist oder seinen Sitz in der EU hat, ist die DSGVO-Dimension besonders relevant.

Wie interagiert dieser Fall mit dem kommenden AMLA-Rahmen der EU?

Die neue EU-Behörde zur Bekämpfung von Geldwäsche wird voraussichtlich strengere Aufsichtsstandards für Krypto-Dienstleister einführen, die in mehreren Mitgliedstaaten tätig sind, einschließlich Anforderungen an Datenverwaltung und Zusammenarbeit mit Strafverfolgungsbehörden. Der Fall Belenkiy veranschaulicht genau die Art von Jurisdiktionskonflikt, den die AMLA-Ära-Regeln adressieren sollen. Unternehmen sollten die AMLA-Leitlinien beobachten, während sie sich entwickeln, und sicherstellen, dass ihre internen Richtlinien strengere Standards für Übermittlungen in Drittländer aufnehmen können.

Quelle: CoinDesk