CSSF stuft consulting-mla.com als nicht lizenziert ein: Was Wirtschaftsprüfer und CFOs jetzt tun müssen
Die luxemburgische Finanzaufsicht, die Commission de Surveillance du Secteur Financier (CSSF), hat am 10. Juli 2026 eine öffentliche Verwarnung gegen die Website www.consulting-mla.com veröffentlicht und sie als Anbieter von Finanzdienstleistungen in oder von Luxemburg aus identifiziert, der über keinerlei aufsichtsrechtliche Genehmigung verfügt. Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und Finanzvorstände mit Luxemburg- oder EU-Bezug ist die Mitteilung ein direkter Anlass, die Kontrollen bei der Aufnahme von Geschäftsbeziehungen zu Gegenparteien zu überprüfen und die AML-Gatekeeping-Verfahren jetzt zu verschärfen.
Was die CSSF-Verwarnung tatsächlich besagt
Das öffentliche Verwarnungsregister der CSSF ist ein formelles Aufsichtsinstrument. Wenn die Behörde ein Unternehmen in dieses Register aufnimmt, signalisiert sie dem Markt, dass der genannte Betreiber weder über eine Lizenz, Registrierung noch eine anerkannte Ausnahme verfügt, die es ihm erlaubt, regulierte Finanzdienstleistungen für Kunden in Luxemburg anzubieten oder zu erbringen. Die Verwarnung gegen consulting-mla.com folgt genau diesem Muster.
Umfang der Warnung
Die CSSF hat keine detaillierte Aufschlüsselung der konkreten Dienstleistungen veröffentlicht, die consulting-mla.com angeboten hat. Die Verwarnung bestätigt jedoch den Kernbefund: Das Unternehmen agiert außerhalb des genehmigten Rahmens. Diese Einordnung ist bedeutsam. Der luxemburgische Finanzdienstleistungsrahmen basiert auf dem Grundsatz, dass jedes Unternehmen, das innerhalb des Hoheitsgebiets Kunden akquiriert oder Vermögenswerte verwaltet, zunächst die entsprechende Genehmigung der CSSF einholen muss – sei es eine Lizenz nach dem Gesetz vom 5. April 1993 über den Finanzsektor, eine Registrierung als Zahlungsinstitut oder bei Krypto-Dienstleistern die Einhaltung des MiCA-Rahmens, der schrittweise in der gesamten EU Anwendung findet.
Warum die CSSF öffentliche Verwarnungen ausspricht
Öffentliche Verwarnungen dienen gleichzeitig zwei Zwecken. Erstens schützen sie Privat- und Geschäftskunden, indem sie den Markt warnen, bevor Schäden eskalieren. Zweitens schaffen sie einen dokumentierten Aufsichtsdatensatz, der spätere Durchsetzungsmaßnahmen stützen kann – sei es durch die CSSF selbst, durch EU-Finanzinformationsstellen oder durch Strafverfolgungsbehörden, die im Rahmen der Geldwäsche-Richtlinien tätig sind. In diesem Sinne ist eine Verwarnung nicht das Ende eines Prozesses, sondern oft der Anfang.
Regulatorischer Rahmen hinter der Verwarnung
Um die Tragweite dieser Mitteilung zu verstehen, ist es hilfreich zu wissen, wie das luxemburgische Zulassungssystem mit den EU-weiten Verpflichtungen verknüpft ist.
Luxemburgs nationaler Lizenzrahmen
Luxemburg ist einer der wichtigsten Fonds- und Finanzdienstleistungsplätze der EU. Die CSSF beaufsichtigt Banken, Wertpapierfirmen, Zahlungsinstitute, Fondsverwalter und zunehmend auch Kryptodienstleister gemäß MiCA. Jedes Unternehmen, das innerhalb dieses Rahmens Kundengelder berührt, Anlageberatung anbietet oder Vermögensverwaltungsdienstleistungen erbringt, ohne zuvor von der CSSF zugelassen zu sein, verstößt gegen luxemburgisches Recht. Die Strafen können eine strafrechtliche Verfolgung von Einzelpersonen umfassen, nicht nur Unternehmensstrafen.
MiCA und der erweiterte Krypto-Lizenzrahmen
Seit der schrittweisen Anwendung von MiCA in der EU hat sich die Frage, wer eine Lizenz benötigt, für Krypto-Unternehmen erheblich ausgeweitet. Ein Kryptodienstleister, der EU-Kunden bedienen möchte, muss eine MiCA-Zulassung einer zuständigen Behörde in mindestens einem EU-Mitgliedstaat besitzen. Luxemburg ist aufgrund seines Status als Finanzplatz ein aktives Land für CASP-Zulassungsanträge. Ein Unternehmen, das Kryptodienstleistungen für in Luxemburg ansässige Kunden vermarktet, ohne diese Zulassung zu haben, verstößt daher möglicherweise sowohl gegen nationales Recht als auch gegen die MiCA-Verordnung. Die CSSF-Verwarnung gegen consulting-mla.com gibt nicht an, ob das Unternehmen Kryptodienstleistungen angeboten hat, aber der nicht lizenzierte Status ist unabhängig vom konkreten Produkt eindeutig.
Verbindung zum EU-Geldwäscherrahmen
Nicht lizenzierte Finanzdienstleister gelten als anerkannte Kategorie von Geldwäscherisiken gemäß den EU-Geldwäscherichtlinien, die derzeit in der 4. und 5. AML-Richtlinie geregelt sind, wobei die 6. AML-Richtlinie und die bevorstehende EU-Geldwäschebehörde (AMLA) weitere Ebenen hinzufügen. Ein außerhalb des beaufsichtigten Rahmens tätiges Unternehmen verfügt über kein AML-Compliance-Programm, keine KYC-Verfahren, keine Meldepflicht für verdächtige Transaktionen und keine Aufsicht durch eine zuständige Behörde. Dadurch können alle Gelder, die über ein solches Unternehmen geleitet werden, ein Vehikel für die Schichtung oder Integration von illegalen Erlösen sein.
Auswirkungen für Wirtschaftsprüfungsgesellschaften und Abschlussprüfer
Eine öffentliche Verwarnung der CSSF begründet konkrete berufliche Pflichten und Risikoexpositionen für Prüfer, nicht nur regulatorische Neugier.
Sorgfaltspflicht bei Gegenparteien und Aufnahme von Geschäftsbeziehungen
Wenn ein Kunde Ihres Unternehmens eine Geschäftsbeziehung zu consulting-mla.com unterhält oder wenn das Unternehmen in Transaktionsaufzeichnungen, Kontoauszügen oder Anlageplänen auftaucht, die Sie prüfen, erfordert diese Beziehung sofort eine verstärkte Sorgfaltspflicht. Die CSSF-Verwarnung ist die Art von negativem Befund, für den Verfahren zur Kundenidentifizierung (CDD) und verstärkten Sorgfaltspflicht (EDD) speziell konzipiert sind. Dokumentieren Sie, dass Sie die CSSF-Verwarnung identifiziert, die Exposition bewertet und verhältnismäßige Maßnahmen ergriffen haben, ist nicht optional; es ist Teil der eigenen AML-Compliance-Unterlagen Ihres Unternehmens.
Auswirkungen auf die Prüfung und Bestätigung
Abschlussprüfer, die für regulierte Unternehmen in Luxemburg oder EU-dominierte Fonds arbeiten, stehen vor einer direkten Frage: Besteht eine wesentliche Transaktions- oder Bilanzexposition, die auf ein Unternehmen zurückzuführen ist, das jetzt auf der CSSF-Verwarnungsliste steht? Wenn ja, muss dieser Befund in die Beurteilung der Unternehmensfortführung (going concern), die Angaben über Beziehungen zu nahestehenden Unternehmen und die Bewertung des Prüfers einfließen, ob das Management angemessene Kontrollen bei der Auswahl von Gegenparteien hat. Die Existenz einer aufsichtsrechtlichen Verwarnung bedeutet nicht automatisch, dass eine Transaktion betrugsanfällig ist, aber sie schafft einen erhöhten Risikoindikator, der dokumentiert und bewertet werden muss.
Krypto-Buchhaltungssoftware zur Offenlegung von Risiken nutzen
Für Unternehmen, die digitale Vermögensportfolios verwalten oder Buchhaltungsdienstleistungen für Kunden mit Kryptobeständen erbringen, wird eine zuverlässige Krypto-Buchhaltungssoftware, die On-Chain-Transaktionen realen Gegenparteien zuordnet, zu einem praktischen Compliance-Instrument. Wenn consulting-mla.com an irgendeiner kryptobezogenen Dienstleistung beteiligt war, ist die Rückverfolgung von Wallet-Adressen, die mit diesem Unternehmen verbunden sind, durch Ihre Transaktionsdatensätze ein angemessener Schritt. Digitale Vermögensbuchhaltungssoftware, die eine klare Prüfspur der Gegenpartei-Identifikatoren führt, macht eine solche retrospektive Überprüfung wesentlich schneller und gegenüber Aufsichtsbehörden verteidigungsfähiger.
SAR-Erwägungen
Wenn ein Unternehmen tatsächlich weiß oder vernünftige Gründe für den Verdacht hat, dass Kundengelder von einem nicht lizenzierten Unternehmen verwaltet wurden, entsteht die Pflicht, eine Verdachtsmeldung bei der luxemburgischen Finanzinformationsstelle (CRF) oder der entsprechenden Stelle in dem betreffenden Land einzureichen. Die CSSF-Verwarnung löst nicht automatisch eine SAR-Pflicht aus, aber sie ist eine wesentliche Information, die in die Beurteilung der vernünftigen Gründe einfließen muss. Unternehmen, die diese Informationen nicht dokumentieren, setzen sich regulatorischen und Reputationsrisiken aus.
Auswirkungen für Finanzvorstände mit Luxemburg- oder EU-Exposition
Finanzvorstände von Unternehmen, Treasury-Teams und Finanzfunktionen, die innerhalb der EU tätig sind, stehen nach dieser Verwarnung vor engeren, aber dennoch wichtigen Fragen.
Überprüfung von Treasury- und Lieferantengegenparteien
Führen Sie consulting-mla.com sofort durch Ihre Gegenparteien-Datenbank. Wenn das Unternehmen in einem Lieferantenregister, einer Lieferantenliste oder einem Treasury-Gegenparteienplan auftaucht, muss diese Beziehung an die Rechts- und Compliance-Abteilung eskalieren werden. Die CSSF-Verwarnungsliste ist eine öffentlich zugängliche Quelle für negative Nachrichten und sollte in Ihren kontinuierlichen Screening-Rhythmus einfließen, nicht nur in einmalige Prüfungen bei der Aufnahme von Geschäftsbeziehungen.
Anlage- und Fonds-Exposition
Finanzvorstände von Unternehmen mit alternativen Anlagen, insbesondere über in Luxemburg ansässige Fonds, sollten mit ihren Fondsverwaltern bestätigen, dass keine der zugrunde liegenden Fahrzeuge Transaktionen mit oder über consulting-mla.com durchgeführt haben. Fondsverwalter und Verwaltungsgesellschaften unterliegen selbst der Aufsicht der CSSF und haben eigene Pflichten, aber die Rolle des Finanzvorstands bei der risikotibergreifenden Überwachung auf Konzernebene bedeutet, dass es keine ausreichende Kontrolle ist, zu warten, bis der Fonds dies meldet.
Offenlegungserwägungen
Wenn eine wesentliche Exposition gegenüber einem nicht lizenzierten Unternehmen identifiziert wird, müssen die Finanzteams beurteilen, ob diese Exposition nach den anzuwendenden Rechnungslegungsstandards offenlegungspflichtig ist – sei es IFRS, luxemburgische GAAP oder US-GAAP. Eine Exposition gegenüber einem nicht lizenzierten Gegenpartei ist nicht automatisch ein Verlust, schafft aber ein Eventualverbindlichkeitsrisiko, das eine Anhangangabe erforderlich machen kann, insbesondere wenn die Exposition signifikant ist oder regulatorische oder rechtliche Verfahren wahrscheinlich erscheinen.
Breiteres Muster: Regulierungsbehörden beschleunigen öffentliche Verwarnungen
Die Verwarnung gegen consulting-mla.com ist kein Einzelfall. In der gesamten EU haben die nationalen Aufsichtsbehörden ihre öffentlichen Verwarnungstätigkeit im Rahmen eines koordinierten aufsichtsrechtlichen Vorstoßes im Zusammenhang mit der MiCA-Umsetzung und dem bevorstehenden AMLA-Regime intensiviert. Die französische AMF hat eine aktive schwarze Liste nicht lizenzierter Krypto-Plattformen veröffentlicht. Die MFSA in Malta hat Geldstrafen für Lizenzverstöße im Bereich virtueller Finanzanlagen verhängt. Das eigene Verwarnungsregister der CSSF ist gewachsen, da die Attraktivität des luxemburgischen Finanzplatzes ihn zu einem Ziel für Versuche der regulatorischen Arbitrage durch nicht lizenzierte Anbieter macht.
Das Muster ist für Wirtschaftsprüfungsgesellschaften und Finanzvorstände wichtig, da es signalisiert, dass die Häufigkeit dieser Verwarnungen in den nächsten 12 bis 24 Monaten wahrscheinlich zunehmen wird, wenn die AMLA Gestalt annimmt und die nationalen Aufsichtsbehörden ihre Aufsichtsstandards angleichen. Die Einrichtung eines systematischen Prozesses zur Überwachung des CSSF-Verwarnungsregisters sowie gleichartiger Register in anderen Mitgliedstaaten, in denen Sie Kundenkontakte haben, ist kein Luxus mehr, sondern eine grundlegende Compliance-Erwartung.
Um zu verstehen, wie MiCA-Lizenzpflichten mit Verwahrungs- und Betriebsfestigkeitsanforderungen zusammenhängen, lesen Sie was MiCA-Lizenzpflichten für Verwahrung und Compliance-Teams bedeuten. Ein vergleichbares Durchsetzungsmuster in Frankreich finden Sie unter wie die AMF mit einer ähnlichen Schwarzen Liste einer nicht lizenzierten Krypto-Plattform in Frankreich umgegangen ist.
Praktische nächste Schritte
Für Wirtschaftsprüfungsgesellschaften und Abschlussprüfer
Überprüfen Sie alle aktiven Kundendateien auf Verweise auf consulting-mla.com oder www.consulting-mla.com. Dokumentieren Sie die Überprüfung, ihr Datum und das Ergebnis in Ihrer AML-Compliance-Akte. Wenn eine Exposition festgestellt wird, eskalieren Sie an Ihren Geldwäschebeauftragten (MLRO) und beginnen Sie mit einer EDD-Prüfung. Aktualisieren Sie Ihre Negative-News-Screening-Quellen um das öffentliche Verwarnungsregister der CSSF in einem regelmäßigen Überwachungsrhythmus. Wenn Sie eine Krypto-Buchhaltungssoftware zur Verwaltung von Kunden-Kryptodaten verwenden, bestätigen Sie, dass die Gegenpartei-Zuordnung der Software die Wallet-Adressen oder Unternehmenskennungen dieser Verwarnung abdeckt, sobald diese über öffentliche Kanäle verfügbar werden.
Für Finanzvorstände und Finanzteams
Fügen Sie das CSSF-Verwarnungsregister zu Ihrem Treasury-Gegenparteien-Screening-Toolkit hinzu, neben den Sanktionslisten von OFAC, UN und EU. Führen Sie eine einmalige Rückwärtsprüfung über Kreditoren, Lieferantenstammdaten und Anlagepläne auf die Domain consulting-mla.com durch. Informieren Sie Ihr Prüfungs- oder Risikokomitee des Vorstands über die CSSF-Maßnahme im Rahmen Ihres nächsten regelmäßigen regulatorischen Updates. Wenn Ihr Unternehmen in Luxemburg tätig ist oder in Luxemburg ansässige Fondsanlagen hat, bestätigen Sie mit Ihren von der CSSF beaufsichtigten Dienstleistern, dass sie ihre eigenen Überprüfungen durchgeführt haben.
Häufig gestellte Fragen
Was bedeutet eine öffentliche Verwarnung der CSSF rechtlich?
Eine öffentliche Verwarnung der CSSF ist eine offizielle aufsichtsrechtliche Mitteilung, dass das genannte Unternehmen nicht berechtigt ist, regulierte Finanzdienstleistungen in Luxemburg zu erbringen. Sie ist weder eine strafrechtliche Verurteilung noch eine Sanktionsbezeichnung, aber sie ist ein formeller negativer Befund, der verstärkte Sorgfaltspflichten für regulierte Unternehmen auslöst, die eine Exposition gegenüber dem Unternehmen haben oder entdecken.
Gilt die Verwarnung außerhalb Luxemburgs?
Die Zuständigkeit der CSSF erstreckt sich auf Luxemburg. Da Luxemburg jedoch ein EU-Mitgliedstaat ist, ist die Verwarnung für jedes regulierte Unternehmen in der EU relevant, das das Gegenparteirisiko im Rahmen der Geldwäscherichtlinien bewertet. Andere zuständige EU-Behörden und die Europäische Bankenaufsichtsbehörde unterhalten Informationsaustauschmechanismen, sodass die Verwarnung praktische Bedeutung im gesamten Binnenmarkt hat.
Sind Unternehmen aufgrund dieser Verwarnung verpflichtet, eine Verdachtsmeldung einzureichen?
Nicht automatisch. Die CSSF-Verwarnung ist ein Risikoindikator, kein automatischer Auslöser für eine SAR. Regulierte Unternehmen müssen beurteilen, ob die Verwarnung zusammen mit einer bekannten Kundenexposition oder Transaktionsaktivität im Zusammenhang mit dem Unternehmen die Schwelle für vernünftige Verdachtsgründe gemäß der geltenden Geldwäschegesetzgebung erreicht. Diese Beurteilung muss unabhängig vom Ergebnis dokumentiert werden.
Wie sollte dies in der Prüfungsarbeit berücksichtigt werden?
Prüfer sollten die CSSF-Verwarnung als erhöhten Risikoindikator behandeln, wenn sie Transaktionen oder Salden mit einem Bezug zu consulting-mla.com prüfen. Der Befund sollte in den Arbeitspapieren dokumentiert, im Rahmen der Betrugsrisikobeurteilung nach ISA 240 berücksichtigt und auf Auswirkungen auf den Prüfungsbericht, die Going-Concern-Beurteilung oder Management-Letter-Punkte bewertet werden.
Wo können Unternehmen zukünftige CSSF-Verwarnungen verfolgen?
Die CSSF veröffentlicht ihre Verwarnungen direkt auf ihrer offiziellen Website unter cssf.lu. Unternehmen sollten den Warnungsbereich mit einem Lesezeichen versehen und in ihre regelmäßigen Negative-News- und Sanktions-Screening-Prozesse integrieren. Die CSSF gibt auch Pressemitteilungen zu bedeutenden Durchsetzungsmaßnahmen heraus, die per RSS und E-Mail-Abonnement verfügbar sind.
Quelle: CSSF Luxembourg