Das BMF hat am 26. Mai 2021 einen Entwurf über eine Verordnung veröffentlicht, die die Stärkung von Informations- und Sorgfaltspflichten bei der Übertragung von Kryptowerten vorsieht. Dieser Entwurf basiert auf einer Ermächtigung gemäß § 15 Abs. 10 Satz 1 Nr. 1 GWG.
Die Kryptowertetransferverordnung soll regeln, wie geldwäscherechtlich Verpflichtete künftig Informationen bei der Übertragung von Kryptowerten zu übermitteln haben. Dies geschieht analog der Geldtransferverordnung, die am 20. Mai 2015 vom Europäischen Parlament und Rat erlassen worden ist und seitdem die Übermittlung von Angaben bei Geldtransfers regelt. Verpflichtete, die eine Übertragung vornehmen oder entgegennehmen, müssen bestimmte transaktionale Informationspflichten erfüllen. Darunter fallen die (verifizierte) Erhebung, Speicherung und Übermittlung von Namen und Anschriften der Transaktionsbeteiligten.
Kontext der Verordnung
Hintergrund der Kryptowertetransferverordnung ist die Empfehlung R.15/INR.15 der OECD-nahen Financial Action Task Force (FATF), die auch als „travel rule“ bekannt ist. Um Geldwäsche und Terrorismusfinanzierung zu verhindern, haben Finanzinstitute bei Geldtransfers sicherzustellen, dass transaktions- und identitätsbezogene Informationen von Sender und Empfänger systematisch erfasst und aufbewahrt werden. Dadurch soll die zuständige Aufsichtsbehörde Transaktionsdaten sowie Identitätsdaten aller Transaktionsbeteiligten automatisiert abrufen können. So kann sie bei Bedarf verdächtige Transaktionen stoppen beziehungsweise verhindern.
Diese transaktionalen Informationspflichten sind gemäß den im Jahr 2019 angepassten Standards der FATF auch für Kryptowertedienstleister als geldwäscherechtlich Verpflichtete national zu regulieren. Die Verordnung des BMF setzt diese Empfehlungen um. Ebenfalls erfasst sind „unhosted wallets“, also privat selbstverwaltete virtuelle Geldbörsen.
Implikationen für die Kryptoverwahrung
Die Verordnung trifft Verpflichtete nach § 2 Absatz 1 Nummer 1 und 2 des Geldwäschegesetzes, die bei der Übertragung von Kryptowerten beteiligt sind. Für Kryptoverwahrer, die sich aktuell im BaFin-Genehmigungsprozess befinden, sind die Vorgaben von besonderer Bedeutung. Eine der zentralen Zulassungsvoraussetzungen zur Erlangung einer Erlaubnis für den Geschäftsbetrieb der Kryptoverwahrung sind geldwäscherechtliche Präventionsmechanismen. So war bisher im Regelgeschäftsprozess der Kryptoverwahrung nicht vorgesehen, dass Identitätsmerkmale zu den Verpflichteten des Empfängers zu übermitteln waren. Um die vorgesehenen verschärften Sorgfaltspflichten einhalten zu können, setzt dies organisatorische, prozessuale und technische Anpassungen auch hinsichtlich beteiligter Dienstleister voraus. Dies führt zu einer enormen Ausweitung des Service-Managements.
Praktische Umsetzung
Auch bei Transaktionen, bei denen nur eine zur Geldwäscheprävention verpflichtete Partei beteiligt ist, sind Namen und Anschriften der Transaktionsbeteiligten zu erheben und zu speichern. Um dies erfüllen zu können, müssen Kryptowertedienstleistern zwei Fähigkeiten erfüllen: Zu einen müssen sie erkennen, wann Transaktionen mit anderen Kryptowertedienstleistern (in Abgrenzung zu „unhosted wallets“) durchgeführt werden und zum anderen, ob ein beteiligter Kryptowertedienstleister für geldwäscherechtliche Zwecke angemessen beaufsichtigt wird.
Damit wird es unerlässlich, ein Blockchain Analytics Tool einzusetzen, das die Transparenz und Kontrolle aller Aktivitäten entlang des Kryptotransfer-Prozesses ermöglicht.
Die geforderte Datenübertragung kann beispielsweise mittels eines asymmetrisch kryptografisch verschlüsselten und automatisierten Nachrichtenaustauschs mit definierten Workflow-Regeln erfolgen. Hierzu findet ein Austausch zwischen den involvierten Dienstleistern statt, die in einer gesicherten Applikationsumgebung über das Internet miteinander vernetzt sind. Der Applikationszugriff erfolgt anhand von Anwendungsschnittstellen (APIs), die eine protokoll-gesicherte Datenverbindung bereitstellen. Für den Fall eines hierfür bisher fehlenden technischen Standards sieht die Kryptowertetransferverordnung eine Anzeigepflicht an die zuständige Aufsichtsbehörde nach § 50 Nummer 1 des Geldwäschegesetzes bei Nichteinhaltung der Datenübermittlung vor.
Fazit
Die Kryptowertetransferverordnung soll zwei Monate nach Verkündung in Kraft treten. Ein technischer Industriestandard zur Umsetzung der travel rule ist aktuell noch nicht etabliert.
Wozu sind Dienstleister nun aufgefordert, um die für den Anwendungsbereich der Vorschrift geltenden Regeln dauerhaft zu erfüllen?
Sie müssen die Kontrolle über den IT-gestützten Geschäftsprozess des Kryptowertetransfers sicherstellen.
Hierzu bietet sich aufgrund des dynamischen regulatorischen Umfelds eine unabhängige externe Prüfung des Geschäftsprozesses in Übereinstimmung mit anerkannten und bewährten Prüfungsstandards – aus den Bereichen IT & Compliance - an.