Ende der MiCAR-Übergangsfrist: Was die AML/CFT-Leitlinien von AMLA für CASPs bedeuten
Mit dem 1. Juli 2026 ist der EU-Kryptowertermarkt in eine neue Regulierungsphase eingetreten. Das durch Artikel 143(3) der Verordnung (EU) 2023/1114 (MiCAR) geschaffene Übergangsfenster ist geschlossen, und nur noch vollständig autorisierte Krypto-Dienstleister (CASPs) dürfen in der Europäischen Union rechtmäßig Kryptowerte-Dienstleistungen anbieten. Vor Ablauf dieser Frist hat die Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AMLA) gezielte Leitlinien zu den Risiken der Geldwäsche und Terrorismusfinanzierung (ML/TF) veröffentlicht, die das Ende der Übergangsfrist mit sich bringt, sowie zu ihren Erwartungen an Unternehmen, Aufsichtsbehörden und Financial Intelligence Units (FIUs). Für Wirtschaftsprüfungsgesellschaften, Compliance-Beauftragte und CFOs, die Krypto-Buchhaltungssoftware nutzen oder bewerten, ist das Verständnis dieser Erwartungen inzwischen Voraussetzung, um der Aufsicht einen Schritt voraus zu sein.
Was die Übergangsfrist tatsächlich bedeutete
MiCAR trat am 30. Dezember 2024 in der gesamten EU in Kraft. Um einen abrupten Bruch für Tausende von Kryptowerte-Unternehmen zu vermeiden, die unter bestehenden nationalen Regelungen tätig waren, räumte Artikel 143(3) den Mitgliedstaaten die Möglichkeit ein, bereits nach innerstaatlichen Vorschriften registrierten oder zugelassenen Virtual Asset Service Providers (VASPs) die Fortführung ihrer Tätigkeit zu gestatten, während sie eine vollständige MiCAR-Autorisierung anstrebten. Dieses Fenster lief achtzehn Monate lang bis zum 1. Juli 2026.
Wer erfasst war und wer nun ausgeschlossen ist
Jeder VASP, der sich auf diese nationale Bestandsschutzregelung stützte und vor Ablauf der Frist keine MiCAR-Zulassung erhielt, ist nun rechtlich daran gehindert, in der EU Kryptowerte-Dienstleistungen zu erbringen. Der Markt hat sich damit, zumindest strukturell, auf eine Gruppe vollständig autorisierter CASPs verengt. Die Kundenstämme, verwahrten Vermögenswerte und Transaktionsströme der ausscheidenden Unternehmen verschwinden nicht, sie wandern ab, und genau in dieser Migration sieht AMLA das größte kurzfristige ML/TF-Risiko.
Die zentrale Risikobewertung von AMLA
Die Leitlinien von AMLA benennen zwei unterschiedliche Risikogruppen: VASPs, die ihre Tätigkeit einstellen, weil sie keine Zulassung erhalten haben, und autorisierte CASPs, die die von diesen Unternehmen zurückgelassenen Kunden übernehmen. Die Risiken beider Gruppen unterscheiden sich in ihrer Art, und AMLA behandelt sie getrennt.
Ausscheidende VASPs: das Abwicklungsrisiko
Wenn ein Unternehmen eine regulierte Tätigkeit unter Zeitdruck beendet, neigt es natürlicherweise dazu, sich auf die operative Kontinuität und die kommerzielle Abwicklung zu konzentrieren statt auf Compliance-Hygiene. AMLA warnt ausdrücklich davor. Beschleunigte Abwicklungen können die AML/CFT-Kontrollen belasten, die Sicht auf die Kundenaktivität verringern und Lücken in der Transaktionsüberwachung schaffen, gerade dann, wenn illegale Akteure versuchen könnten, Gelder zu verschieben oder die Herkunft von Vermögenswerten zu verschleiern.
Die Erwartung von AMLA an ausscheidende Unternehmen ist eindeutig: Eine wirksame AML/CFT-Governance muss aufrechterhalten werden, bis alle regulierten Tätigkeiten tatsächlich eingestellt sind. Das bedeutet, die Unterlagen der Sorgfaltspflicht gegenüber Kunden (CDD) aktuell zu halten, die Transaktionsüberwachung fortzusetzen und Verdachtsmeldungen (SARs) so lange zu erstatten, wie das Unternehmen Kundenbeziehungen unterhält oder Transaktionen abwickelt. Die Compliance-Pflichten nehmen nicht ab, während das Geschäft heruntergefahren wird; sie laufen bis zum letzten Tag parallel weiter.
Für Buchhaltungsteams, die diese Unternehmen unterstützen, bedeutet das in der Praxis, dass eine vollständige und prüfbare Dokumentation von CDD-Unterlagen, Transaktionsprotokollen und SAR-Meldungen aufbewahrt und zugänglich sein muss. Aufsichtsbehörden haben ein langes Gedächtnis, und aufsichtliche Prüfungen von Abwicklungspraktiken können noch lange nach der Einstellung des Geschäftsbetriebs beginnen.
Autorisierte CASPs: das Risiko der Onboarding-Welle
Für CASPs mit MiCAR-Autorisierung bringt das Ende der Übergangsfrist Chancen, aber auch Compliance-Belastungen. Der gleichzeitige Rückzug mehrerer Wettbewerber bündelt den Kundenstrom bei einer kleineren Zahl zugelassener Unternehmen. Die Onboarding-Volumina steigen stark an. Die Transaktionsaktivität nimmt zu. Die Exposition gegenüber verschiedenen Kundenrisikokategorien weitet sich aus, möglicherweise sehr schnell.
AMLA stellt klar, dass diese Welle keine Lockerung der Kontrollen rechtfertigt. Die Behörde betont die Notwendigkeit skalierbarer AML/CFT-Rahmenwerke, ausreichender Personalressourcen und Systemkapazitäten, die höhere Volumina aufnehmen können, ohne die Qualität der Überwachung oder der Sorgfaltspflicht zu beeinträchtigen. Compliance-Teams, die für einen stabilen Kundenstamm dimensioniert waren, können innerhalb von Wochen nach Ablauf der Frist erheblich unterbesetzt sein.
Der konkrete Bereich, den AMLA hervorhebt, ist die Infrastruktur zur Transaktionsüberwachung. Systeme, die auf das historische Transaktionsprofil eines Unternehmens kalibriert sind, können falsch-negative Ergebnisse liefern, wenn sich Volumina und Kundenrisikoprofile schnell ändern. Unternehmen sollten ihre Überwachungsparameter und Alarmgrenzen dringend überprüfen.
Das De-Risking-Verbot
Einer der operativ bedeutsamsten Punkte in den Leitlinien von AMLA betrifft den Umgang autorisierter CASPs mit Kunden, die von nicht autorisierten Anbietern kommen. AMLA verbietet ausdrücklich ein pauschales De-Risking dieser Kunden. Ein Unternehmen kann nicht einfach die Aufnahme aller Kunden verweigern oder diese sofort beenden, die von einem nicht autorisierten VASP wechseln, mit der Begründung, sie hätten zuvor einen nicht zugelassenen Anbieter genutzt. Stattdessen sind individuelle Risikobewertungen erforderlich, und die CDD-Maßnahmen müssen dem tatsächlich für jeden Kunden ermittelten Risiko angemessen sein. Dies steht im Einklang mit dem risikobasierten Ansatz, der dem gesamten AML-Rahmenwerk der EU zugrunde liegt, bringt aber unmittelbare operative Kosten mit sich: Compliance-Teams benötigen Arbeitsabläufe, die individuelle Risikoprofile in großem Umfang bewerten können, und keine pauschalen Ausschlussrichtlinien.
Erwartungen an Aufsicht und FIUs
Die Leitlinien von AMLA gehen über die Pflichten auf Unternehmensebene hinaus und befassen sich mit der Aufsichtsarchitektur selbst. Gleichzeitige Marktaustritte, umfangreiche Kundenmigrationen und sich wandelnde Geschäftsmodelle schaffen das, was AMLA als aufsichtliche blinde Flecken bezeichnet, insbesondere dort, wo sich regulatorische Standards und Aufsichtskapazitäten zwischen den Mitgliedstaaten unterscheiden.
Grenzüberschreitende Koordinierung zwischen zuständigen Behörden
AMLA fordert eine stärkere Zusammenarbeit und einen intensiveren Informationsaustausch zwischen den nationalen zuständigen Behörden (NCAs), mit besonderem Augenmerk auf die Aufsicht über Abwicklungstätigkeiten und die Übertragung von Kundenbeziehungen. Die Sorge ist, dass ein in einer Jurisdiktion ausscheidender VASP Kunden an einen in einer anderen Jurisdiktion beaufsichtigten CASP übertragen könnte und die aufnehmende Aufsichtsbehörde nur begrenzte Sicht auf das Risikoprofil der eintreffenden Kundengruppe hat. Eine verbesserte Kommunikation zwischen den NCAs soll diese Lücke schließen.
Zusammenarbeit der FIUs bei neuen ML/TF-Risiken
Von den Financial Intelligence Units wird ebenfalls erwartet, dass sie ihre Zusammenarbeit sowohl im Inland als auch grenzüberschreitend verstärken. Die Logik ist einfach: ML/TF-Risiken, die in einer Phase des Marktübergangs entstehen, sind für eine einzelne FIU isoliert betrachtet möglicherweise nicht sichtbar. Muster verdächtiger Aktivitäten können sich über mehrere Jurisdiktionen erstrecken und Kunden betreffen, die zwischen ausscheidenden VASPs und autorisierten CASPs in verschiedenen Mitgliedstaaten wechseln. Die koordinierte Weitergabe von Erkenntnissen ist der Mechanismus, mit dem AMLA diese Muster im Blick behalten will.
Auswirkungen auf Buchhaltung und Compliance in den Unternehmen
Für Buchhaltungspraxen, Prüfer und CFOs, die EU-regulierte Kryptowerte-Unternehmen beraten oder leiten, haben die Leitlinien von AMLA mehrere konkrete Implikationen, die über die reine AML-Compliance hinausgehen.
Anforderungen an Dokumentation und Prüfpfad
Die Leitlinien bekräftigen die Bedeutung vollständiger und abrufbarer Unterlagen. Ob ein Unternehmen seine Tätigkeit einstellt oder eine Welle neuer Kunden aufnimmt: Die zugrunde liegenden Dokumentationspflichten nach MiCAR und der EU-Geldwäscherichtlinie bleiben in Kraft. CDD-Akten, Transaktionsunterlagen, Überwachungsalarme und SAR-Meldungen müssen für die vorgeschriebenen Aufbewahrungsfristen vorgehalten werden. Unternehmen, die Software zur Buchhaltung digitaler Vermögenswerte oder Krypto-Buchhaltungssoftware einsetzen, sollten prüfen, ob ihre Systeme die Datenpunkte erfassen und archivieren, die sowohl für die regulatorische Berichterstattung als auch für eine mögliche aufsichtliche Prüfung erforderlich sind.
Compliance-Kosten als Position der Finanzplanung
Die Erwartung skalierbarer AML/CFT-Rahmenwerke und ausreichender Personalressourcen ist keine abstrakte Regulierungssprache. Sie schlägt sich in einer Budgetverpflichtung nieder. CASPs, die damit rechnen, erhebliche Kundenvolumina von ausscheidenden VASPs zu übernehmen, sollten die Compliance-Kosten dieser Onboarding-Welle jetzt modellieren, einschließlich zusätzlicher KYC-Analystenkapazität, verbesserter Instrumente zur Transaktionsüberwachung und möglicherweise rechtlicher Kosten für individuelle Risikobewertungen in großem Umfang. CFOs, die Compliance als fixe Gemeinkosten statt als variable, an das Kundenvolumen gekoppelte Kosten behandeln, könnten sich unerwartet in Schwierigkeiten wiederfinden.
Kundenberatung für Buchhaltungsunternehmen
Buchhaltungsunternehmen mit CASP-Mandanten müssen sicherstellen, dass diese Mandanten verstehen, dass die Leitlinien von AMLA durchsetzbare Erwartungen schaffen, auch wenn sie als Risikomanagement-Hinweis und nicht als verbindliche Regulierung formuliert sind. Die Aufsichtsbehörden in den EU-Mitgliedstaaten werden diese Leitlinien als Referenzpunkt nutzen, wenn sie beurteilen, ob CASPs angemessene Schritte zur Bewältigung der Übergangsrisiken unternommen haben. Unternehmen, die keine skalierbaren Onboarding-Prozesse, eine aktuelle Kalibrierung der Überwachung und individuelle Risikobewertungen für migrierende Kunden nachweisen können, sehen sich einem realistischen Durchsetzungsrisiko ausgesetzt. Eine robuste Krypto-Buchhaltungssoftware, die sich in Compliance-Arbeitsabläufe integrieren lässt, ist ein Vorteil, um zu belegen, dass systemische Kontrollen vorhanden waren.
Wie es unter MiCAR weitergeht
AMLA und die MFSA stellen beide klar, dass das Ende der Übergangsfrist nicht das Ende der MiCAR-Umsetzung ist. Es markiert den Beginn einer Phase regulatorischer Reife und laufender Weiterentwicklung. Die Europäische Kommission hat Konsultationsverfahren eröffnet, die die künftige Ausgestaltung von MiCAR prägen werden, und es wird erwartet, dass die Diskussionen über das vorgeschlagene Paket für Finanzdienstleistungsmärkte weitere Verbesserungen des Rahmenwerks behandeln. Unternehmen sollten mit anhaltender Regulierungstätigkeit rechnen, einschließlich der eigenen Aufsichtstätigkeit von AMLA, die in den kommenden Jahren ihre direkte Aufsichtsrolle für die größten grenzüberschreitenden CASPs übernehmen wird.
Als Kontext dazu, wie sich EU-Mitgliedstaaten und Branchengruppen bereits mit möglichen Änderungen an MiCAR befassen, siehe Frankreichs MiCA-Revisionsvorschläge von AMF, ACPR und Treasury. Und für das aktuelle Bild darüber, welche Unternehmen im Rahmen des Rahmenwerks förmlich autorisiert sind, bieten die neuesten Ergänzungen von ESMA zum MiCA-Register einen aktuellen Referenzpunkt.
Häufig gestellte Fragen
Mussten alle EU-VASPs zum 1. Juli 2026 ihren Betrieb einstellen?
Nur diejenigen, die sich auf die Übergangsbestimmung des Artikels 143(3) beriefen. VASPs, die vor diesem Datum eine vollständige MiCAR-Autorisierung erhalten hatten, dürfen ihren Betrieb als CASPs fortsetzen. Diejenigen, die keine Autorisierung erhielten, dürfen keine Kryptowerte-Dienstleistungen mehr in der EU erbringen.
Was verlangt AMLA ausdrücklich von ausscheidenden VASPs?
Ausscheidende Unternehmen müssen eine wirksame AML/CFT-Governance aufrechterhalten, CDD-Unterlagen aktuell halten, die Transaktionsüberwachung fortsetzen und Verdachtsmeldungen so lange erstatten, wie sie aktive Kundenbeziehungen unterhalten oder Transaktionen abwickeln. Die Compliance-Pflichten verringern sich nicht allein deshalb, weil eine Abwicklung läuft.
Können autorisierte CASPs die Aufnahme von Kunden nicht autorisierter VASPs verweigern?
Nicht pauschal. AMLA verbietet ausdrücklich ein pauschales De-Risking von Kunden, die von nicht autorisierten Anbietern wechseln. CASPs müssen individuelle Risikobewertungen durchführen und CDD-Maßnahmen anwenden, die dem tatsächlichen Risikoprofil jedes Kunden angemessen sind.
Wie stehen die Leitlinien von AMLA zu einem bestehenden AML/CFT-Programm eines Unternehmens?
Sie setzen die Messlatte für Skalierbarkeit höher. Ein Programm, das für einen stabilen Kundenstamm angemessen kalibriert war, reicht möglicherweise nicht mehr aus, wenn das Unternehmen einen großen Zustrom migrierender Kunden aufnimmt. Unternehmen sollten Überwachungsschwellen, Personalausstattung und Onboarding-Arbeitsabläufe im Hinblick auf die von AMLA benannten Risiken überprüfen.
Welche eigene Aufsichtsrolle hat AMLA künftig?
AMLA wird mit ihrer vollständigen Betriebsaufnahme die direkte Aufsichtsverantwortung für die größten grenzüberschreitenden CASPs übernehmen. Ihre Leitlinien zu Übergangsrisiken signalisieren die Aufsichtskultur, die sie etablieren will: risikobasiert, vorausschauend und auf systemische Schwachstellen ausgerichtet statt auf reine Abhak-Compliance.