Dubais VARA führt Regeln für digitale Vermögenswerte ein und verbietet Privacy Coins
Die Virtual Asset Regulatory Authority (VARA) in Dubai hat eines der umfangreichsten Krypto-Regulierungsrahmenwerke weltweit veröffentlicht, das Lizenzierung, AML/CFT-Pflichten, Marktverhalten, Verwahrung und ein vollständiges Verbot von Privacy Coins abdeckt. Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs, die virtuelle Vermögenswerte anbietende Dienstleister (VASPs) in den VAE oder mit Interesse an einer Tätigkeit dort betreuen, ist dies ein wesentliches Compliance-Ereignis und kein Hintergrundrauschen. Die Regelwerke sind in Kraft und haben Zähne.
Was VARA ist und warum es für die Krypto-Buchhaltung wichtig ist
Die VARA wurde als weltweit erste kryptospezifische Regulierungsbehörde gegründet und ist speziell auf Dubais Ambition zugeschnitten, ein globaler Hub für Innovationen bei digitalen Vermögenswerten zu werden. Anders als Finanzaufsichtsbehörden, die bestehende Rahmenwerke an Krypto angepasst haben, wurde die VARA von Grund auf mit virtuellen Vermögenswerten im Zentrum konzipiert. Die mehr als ein Dutzend Regelwerke, die sie nun veröffentlicht hat, geben ihr eine umfassende Aufsicht über jede wichtige VASP-Aktivität: Handel, Verwahrung, Maklergeschäft, Kreditvergabe und Emission.
Die Breite ist für Unternehmen, die Mandanten in diesem Bereich beraten, von Bedeutung. Ein einzelner VASP kann nun gleichzeitig Pflichten in den Bereichen AML/CFT, Marktverhalten, Werbung, Vermögenstrennung und Kapitaladäquanz unterliegen, alle unter einem regulatorischen Dach. Für Krypto-Buchhaltungssoftware-Stacks und Compliance-Teams, die diese VASPs unterstützen, übersetzen sich die Pflichten in spezifische Daten-, Berichts- und Kontrollanforderungen, die abgebildet und getestet werden müssen.
Ausrichtung an FATF-Standards
Die AML/CFT-Anforderungen der VARA sind ausdrücklich an den Standards der Financial Action Task Force (FATF) ausgerichtet. Dazu gehören Sorgfaltspflichten gegenüber Kunden, laufende Transaktionsüberwachung und die Einhaltung der FATF Travel Rule, die von VASPs verlangt, bei Transfers über bestimmte Schwellenwerte Auftraggeber- und Begünstigteninformationen weiterzugeben. VASPs müssen zudem darlegen, wie sie Risiken aus Transaktionen mit unhosted Wallets, also solchen außerhalb der Verwahrung eines regulierten VASP, zu steuern beabsichtigen.
Entscheidend ist, dass die VARA von Unternehmen erwartet, Blockchain-Daten auf Risikoindikatoren im Zusammenhang mit Kundentransaktionen zu überwachen und die Angemessenheit verfügbarer Blockchain-Analyse-Tools zur Unterstützung eines effektiven Screenings zu bewerten. Dies ist keine weiche Erwartung. Sie ist in den Compliance-Leitlinien festgeschrieben und impliziert einen Mindeststandard für die Technologieinfrastruktur, die ein VASP einsetzen muss.
Das Privacy-Coin-Verbot: Umfang und regulatorischer Kontext
Die Maßnahme, die am unmittelbarsten Schlagzeilen macht, ist das Verbot der VARA für VASPs, den Handel mit anonymitätsverstärkten Kryptowährungen (AECs), gemeinhin Privacy Coins genannt, anzubieten. Coins wie Monero und Zcash, die standardmäßig Privatsphäre auf Protokollebene bieten, fallen in diese Kategorie.
Wie der Ansatz der VARA im Vergleich zu anderen Jurisdiktionen abschneidet
Das Verbot der VARA stellt Dubai neben die japanische Financial Services Agency (JFSA), die lizenzierten Börsen ebenfalls den Umgang mit Privacy Coins untersagt hat. Der Ansatz unterscheidet sich von dem einiger anderer Aufsichtsbehörden: Das New York Department of Financial Services (NYDFS) hat zuvor begrenzte Privacy-Coin-Dienste erlaubt, sofern ein VASP ausreichende Transparenz der Transaktionen nachweisen kann, eine Nuance, die die VARA offenbar nicht berücksichtigt.
Für VASPs, die Plattformen in mehreren Jurisdiktionen betreiben, entsteht daraus eine echte Frage der Compliance-Architektur. Ein Dienst, der in einer Jurisdiktion zulässig ist, kann in Dubai vollständig verboten sein. Jedes Unternehmen, das die Bücher seiner VASP-Mandanten über Jurisdiktionen hinweg konsolidiert, muss diese Produktunterschiede kennzeichnen und sicherstellen, dass die AEC-Exposition in Dubai null ist und nicht nur offengelegt wird.
Buchhalterische Implikationen des Verbots
Aus Sicht der Buchhaltungssoftware für digitale Vermögenswerte schafft das Verbot einige praktische Pflichten. Jeder VASP, der zuvor Monero, Zcash oder ähnliche Werte im Auftrag von Kunden in Dubai gehalten hat, muss den geordneten Abbau dieser Positionen nachweisen, mit klaren Prüfpfaden, die Veräußerungsdatum, Methode und Preisbasis zeigen. Buchhaltungsteams sollten zudem überprüfen, dass keine Restbestände an AEC in Verwahrungswallets, einschließlich Cold Storage, verbleiben. Eine Lücke hier ist kein Rundungsfehler, sondern ein regulatorischer Verstoß.
Marktverhalten, Werbung und Trennung von Vermögenswerten
Die Regelwerke der VARA gehen weit über AML/CFT hinaus. VASPs ist der Eigenhandel auf eigene Rechnung untersagt, eine direkte Reaktion auf die Art von Missbrauch von Kundengeldern, die in der breiteren Krypto-Branche zu einem prägenden Skandal wurde. Kundenvermögen muss vom Eigenvermögen eines VASP getrennt gehalten werden, und VASPs müssen nachweisen können, dass sie angemessene finanzielle Mittel im Auftrag von Kunden halten.
Kontrollen gegen Marktmanipulation und Insiderhandel
Es müssen Compliance-Vorkehrungen vorhanden sein, um Insiderhandel, unzulässige Offenlegungen und Marktmanipulation zu verhindern. Diese Anforderungen ähneln stark den Marktmissbrauchsrahmenwerken, die Unternehmen, die Mandanten in Großbritannien und der EU beraten, bereits kennen, wo ähnliche Bestimmungen in MiCA und dem Regime des UK Financial Services and Markets Act enthalten sind. Für CFOs und Compliance-Beauftragte bei VASPs mit grenzüberschreitenden Aktivitäten ist die Konvergenz hilfreich: Kontrollen, die für MiCA entwickelt wurden, decken wahrscheinlich viel von dem ab, was die VARA verlangt, aber die Einzelheiten sollten Zeile für Zeile geprüft und nicht als gleichwertig angenommen werden.
Werbung und Verbraucherschutz
VASPs müssen konforme Marketingvereinbarungen vorhalten. Die Werbung gegenüber Kunden ist reguliert, und Unternehmen sollten damit rechnen, dass Risikohinweise, Werbebeschränkungen und Genehmigungsprozesse dokumentiert werden müssen. Für Wirtschaftsprüfungsgesellschaften, die regulatorische Compliance-Berichte für VASP-Mandanten erstellen, ist dies ein weiterer Posten, der in die Leistungsabgrenzung aufgenommen werden sollte.
Börsenspezifische Anforderungen und Marktüberwachung
Die Leitlinien der VARA für Krypto-Börsen enthalten die Anforderung, Daten mit der VARA zu teilen, um Marktüberwachung zu ermöglichen und widerstandsfähige, kontinuierliche Handelssysteme aufrechtzuerhalten. Dies sind keine aspirationalen Standards. Eine in Dubai tätige Börse muss eine Datenweitergabeinfrastruktur aufbauen, die an die Aufsichtsfunktion der VARA anknüpft, und ihre Bücher müssen diese Verknüpfung unterstützen können.
Für Unternehmen, deren Mandanten Börsen betreiben, entsteht daraus eine klare Abhängigkeit von Krypto-Buchhaltungssoftware, die VARA-kompatible Berichtsausgaben erzeugen kann. Jede Lücke zwischen der bestehenden Buchhaltungsinfrastruktur eines Mandanten und dem, was die VARA tatsächlich anfordern wird, sollte jetzt identifiziert werden, bevor die VARA danach fragt.
SEC-Durchsetzung beim Staking: ein paralleler Druckpunkt
Unabhängig vom VARA-Rahmenwerk erzielte die US Securities and Exchange Commission eine Einigung mit der Krypto-Börse Kraken über deren Staking-as-a-Service-Programm. Die SEC stellte fest, dass das Programm, bei dem Kraken Kundenvermögen poolte und Renditen anbot, ein nicht registriertes Wertpapierangebot darstellte. Kraken erklärte sich bereit, 30 Millionen US-Dollar zu zahlen, und verpflichtete sich, ähnliche Dienste für US-Investoren einzustellen.
Was die Kraken-Einigung für die Staking-Buchhaltung signalisiert
SEC-Vorsitzender Gary Gensler erklärte, dass Anbieter von Staking-as-a-Service sich registrieren und neben dem Anlegerschutz vollständige Offenlegung bieten müssten. Zwar betrifft die Einigung speziell Kraken und verbietet nicht automatisch alle Staking-Dienste, doch signalisiert sie, dass die SEC gepoolte, verwahrte Staking-Vereinbarungen mit erheblicher Skepsis betrachtet. Der Einigung gingen Anklagen gegen andere Unternehmen und eine separate Einigung über 45 Millionen US-Dollar mit der Krypto-Börse Nexo voraus, was auf ein anhaltendes Durchsetzungsmuster und nicht auf eine einmalige Maßnahme hindeutet.
Für Buchhaltungs- und Prüfungsteams ist die Frage der Staking-Klassifizierung nicht rein rechtlich. Wenn Staking-Belohnungen aus einem gepoolten Programm als Wertpapiererträge statt als Rendite umqualifiziert werden, ändern sich die buchhalterische Behandlung, der Zeitpunkt der Erfassung und die Offenlegungspflichten. Unternehmen, die Mandanten mit US-Staking-Exposition beraten, sollten prüfen, wie diese Vereinbarungen derzeit erfasst werden und ob die Kraken-Einigung das Risikoprofil dieser Behandlung verändert.
Gemeinsame US-UK-Ransomware-Sanktionen und Krypto-Adressrisiko
Das US Office of Foreign Assets Control (OFAC) und das UK Office of Foreign Sanctions Implementation (OFSI) haben gemeinsame Sanktionen gegen sieben Mitglieder der Trickbot-Cybercrime-Gruppe verhängt, was die erste ransomware-bezogene Sanktionsmaßnahme des OFSI darstellt. Die Personen stehen mit großen Ransomware-Kampagnen in Verbindung. Das OFSI veröffentlichte zudem neue Leitlinien zu den sanktionsrechtlichen Implikationen von Ransomware-Zahlungen.
Weder OFAC noch OFSI veröffentlichten zum Zeitpunkt der Maßnahme Krypto-Adressen in ihren Sanktionslisten für diese Personen. Die gemeinsame Aktion unterstreicht jedoch, dass ransomware-verbundene Akteure ein aktives Sanktionsscreening-Anliegen sind. VASPs und ihre Berater sollten sicherstellen, dass Blockchain-Screening-Tools bei neuen Listungen zeitnah aktualisiert werden und dass Richtlinien zur Ransomware-Zahlungscompliance sowohl OFAC- als auch OFSI-Anforderungen referenzieren, insbesondere für Unternehmen mit Aktivitäten in beiden Jurisdiktionen. Angesichts jüngster Durchsetzungsmaßnahmen, einschließlich der in unserer Analyse der Sanktionsuntersuchung des Manhattan US Attorney gegen eine große Börse behandelten, ist die Richtung der US- und UK-Behörden unmissverständlich auf strengere Durchsetzung gerichtet.
Kasachstans AFSA startet Konsultation zur Krypto-Regulierung
Die Astana Financial Services Authority (AFSA), die unabhängige Aufsichtsbehörde für das Astana International Financial Center in Kasachstan, hat eine Konsultation zu einem vorgeschlagenen Krypto-Regulierungsrahmen eröffnet. Die AFSA will die lokalen regulatorischen Standards für digitale Vermögenswerte mit dem doppelten Ziel anheben, Investitionen anzuziehen und die mit dem Sektor verbundenen Risiken zu steuern. Unternehmen mit Mandanten, die in zentralasiatischen Märkten tätig sind oder dies erwägen, sollten die AFSA-Konsultation verfolgen, da ihr Ergebnis den Lizenzierungs- und Compliance-Maßstab für diese Jurisdiktion definieren wird.
Praktische nächste Schritte für Wirtschaftsprüfungsgesellschaften und CFOs
Der VARA-Rahmen, die SEC-Durchsetzung beim Staking und die gemeinsame US-UK-Ransomware-Sanktionsmaßnahme stellen zusammen eine erhebliche Erhöhung der Compliance-Anforderungen dar, mit denen VASPs und die sie beratenden Unternehmen konfrontiert sind. Zusammengenommen weisen sie auf einige konkrete Prioritäten hin.
Checkliste für Audit und Remediation
Erstens sollte jeder VASP mit Präsenz in Dubai oder Ambitionen auf eine VARA-Lizenz eine Gap-Analyse gegen die gesamte Bandbreite der Regelwerke durchführen, die AML/CFT-Kontrollen, Travel-Rule-Compliance, Risikomanagement für unhosted Wallets, Blockchain-Analyse-Fähigkeiten, Marktverhaltensrichtlinien, Werbeprüfungsprozesse und Verfahren zur Vermögenstrennung abdeckt.
Zweitens muss jede AEC-Exposition in Dubai-bezogenen Aktivitäten identifiziert und beseitigt werden, mit Dokumentation, die die Bereinigung stützt. Drittens sollten Staking-Vereinbarungen mit Zugang für US-Investoren im Licht der Kraken-Einigung überprüft werden, mit besonderem Augenmerk darauf, ob die Pooling- und Verwahrungsstruktur dem ähnelt, was die SEC als anstößig befand. Viertens sollten Sanktionsscreening-Workflows dahingehend bestätigt werden, dass sie sowohl OFAC- als auch OFSI-Listungen abdecken, mit dokumentierten Prozessen für das Handeln bei neuen Ergänzungen einer der beiden Listen.
Unternehmen, die sich bereits mit den Auswirkungen weltweit verschärfter AML-Regeln befassen, einschließlich der jüngsten Durchsetzungsmaßnahmen in den VAE, werden diese Schritte als Teil eines konsistenten Musters aufsichtsrechtlicher Eskalation erkennen. Der VARA-Rahmen ist ein Signal, nicht nur ein Regelwerk: Dubai meint es ernst damit, ein gut regulierter Hub zu sein, und die Compliance-Messlatte wurde hoch gelegt.
Quelle: Elliptic
Häufig gestellte Fragen
Was bedeutet das Privacy-Coin-Verbot der VARA für einen VASP mit bestehenden Monero- oder Zcash-Beständen?
Jeder VASP, der unter die Jurisdiktion der VARA fällt, darf keinen Handel mit anonymitätsverstärkten Kryptowährungen anbieten. Wenn ein Unternehmen zuvor Monero, Zcash oder ähnliche Werte im Auftrag von Kunden in Dubai gehalten hat, muss es diese Positionen geordnet und dokumentiert abbauen, mit klaren Buchhaltungsunterlagen, die Veräußerungsdatum, Preis und Methode zeigen. Restbestände in Verwahrung oder Cold Storage würden einen regulatorischen Verstoß darstellen, nicht nur ein Buchhaltungsproblem.
Bedeutet die Kraken-Einigung mit der SEC, dass alle Staking-Dienste in den USA nun verboten sind?
Nein. Die Einigung betrifft speziell das Staking-as-a-Service-Modell von Kraken, bei dem Kundenvermögen unter der Verwahrung von Kraken gepoolt wurde, um Renditen zu erzielen. Die SEC hat kein pauschales Verbot aller Staking-Dienste erlassen. Die Einigung signalisiert jedoch, dass ähnliche gepoolte, verwahrte Vereinbarungen auf Prüfung stoßen werden, und VASPs, die vergleichbare Produkte US-Investoren anbieten, sollten rechtlichen und buchhalterischen Rat zur Strukturierung und Offenlegung dieser Programme einholen.
Wie verhält sich der AML/CFT-Rahmen der VARA zu den FATF-Standards?
Die VARA hat ihre AML/CFT-Anforderungen ausdrücklich an die FATF-Standards angeglichen, einschließlich der Travel Rule. VASPs müssen Sorgfaltspflichten gegenüber Kunden durchführen, Transaktionen auf verdächtige Aktivitäten überwachen, die Travel Rule für qualifizierende Transfers einhalten und Risiken aus Interaktionen mit unhosted Wallets steuern. Die Angleichung bedeutet, dass VASPs, die bereits FATF-konforme Rahmenwerke in anderen Jurisdiktionen erfüllen, eine vertraute Basis vorfinden, wobei die spezifischen Umsetzungsanforderungen der VARA dennoch sorgfältig abgebildet werden müssen.
Was bedeuten die gemeinsamen OFAC- und OFSI-Ransomware-Sanktionen für VASPs mit grenzüberschreitenden Aktivitäten?
VASPs, die sowohl in den USA als auch in Großbritannien tätig sind, müssen gegen beide Sanktionslisten von OFAC und OFSI screenen. Die gemeinsame Aktion gegen Trickbot-Mitglieder und die neuen Leitlinien des OFSI zur Ransomware-Zahlungscompliance bestätigen, dass beide Aufsichtsbehörden ransomware-verbundene Aktivitäten als aktuelle Durchsetzungspriorität behandeln. Screening-Workflows sollten dahingehend bestätigt werden, dass sie beide Listen abdecken, und jede Richtlinie zur Ransomware-Zahlungscompliance sollte die Anforderungen beider Jurisdiktionen ausdrücklich referenzieren.
Wie sollte Krypto-Buchhaltungssoftware die Anforderung der VARA zur Vermögenstrennung handhaben?
Die VARA verlangt von VASPs, Kundenvermögen strikt vom eigenen Vermögen getrennt zu halten und angemessene finanzielle Mittel im Auftrag der Kunden vorzuhalten. Aus Sicht der Buchhaltungsinfrastruktur bedeutet dies, dass Kontenplan und Wallet-Management-Systeme jederzeit eine klare, prüfbare Trennung zwischen kundenbezogenen und unternehmensbezogenen Salden aufrechterhalten müssen. Jede Buchhaltungssoftware für digitale Vermögenswerte, die einen in Dubai lizenzierten VASP unterstützt, sollte in der Lage sein, getrennte Saldenberichte auf Anforderung für die regulatorische Prüfung zu erstellen.