KYC und AML im Krypto-Bereich: Welche Pflichten für Token-Projekte wirklich gelten
KYC bezeichnet die Identifizierung und Überprüfung von Kunden oder Investoren, AML das übergeordnete Regelwerk zur Geldwäscheprävention. Ob diese Pflichten Sie treffen, hängt an Ihrer Rolle im Prozess – nicht daran, dass Kryptowerte im Spiel sind. Ein Unternehmen, das eigene Token ausgibt, ist nicht automatisch geldwäscherechtlich verpflichtet.
Diese Unterscheidung geht in fast allen Ratgebern zu diesem Thema unter, weil sie für Krypto-Börsen und Banken geschrieben sind. Für Emittenten sieht die Lage anders aus – und trotzdem führt praktisch kein Weg an einer sauberen Prüfstrecke vorbei. Was uns 50+ Projekte gelehrt haben: Die Frage ist selten „muss ich?“, sondern „wer in meiner Kette muss, und was bedeutet das für mein Setup?“. Dieser Artikel klärt beides.
Inhaltsverzeichnis
Das Wichtigste in Kürze
- KYC (Know Your Customer) bezeichnet die Identifizierung und Überprüfung von Kunden oder Investoren, AML (Anti-Money-Laundering) die darüber hinausgehenden Pflichten zur Geldwäscheprävention.
- Geldwäscherechtliche Pflichten treffen Verpflichtete – in der EU unter anderem Banken, Zahlungsdienstleister und Kryptowerte-Dienstleister (CASPs). Wer eigene Token ausgibt, fällt nicht automatisch darunter.
- Die Travel Rule nach Verordnung (EU) 2023/1113 ist seit dem 30. Dezember 2024 vollständig anwendbar. Für Kryptowert-Transfers gilt sie ohne Bagatellgrenze; die 1.000-Euro-Schwelle betrifft nur zusätzliche Prüfpflichten bei selbst verwahrten Wallets.
- Ab dem 10. Juli 2027 gilt die EU-Geldwäscheverordnung (EU) 2024/1624 unmittelbar und löst die nationalen Geldwäschegesetze weitgehend ab. Die Aufsichtsbehörde AMLA ist seit dem 1. Juli 2025 in Frankfurt operativ.
- Wir setzen KYC standardmäßig im Investoren-Dashboard auf – Teil der technischen Umsetzung für 15.000€ zum Festpreis, rund 6 Wochen. Grundlage sind über 50 Tokenisierungsprojekte.
Was KYC und AML im Krypto-Kontext bedeuten
KYC steht für „Know Your Customer“ und bezeichnet die Identifizierung eines Kunden oder Investors sowie die Überprüfung der erhobenen Angaben. Im Deutschen entspricht das den Identifizierungs- und Sorgfaltspflichten gegenüber Vertragspartnern.
AML steht für „Anti-Money-Laundering“, auf Deutsch Geldwäscheprävention. Der Begriff umfasst das gesamte Pflichtenprogramm: laufende Überwachung von Geschäftsbeziehungen, Erkennung auffälliger Vorgänge, Meldung von Verdachtsfällen an die zuständige Financial Intelligence Unit und Aufbewahrung der Nachweise. Häufig ergänzt um CFT, die Bekämpfung der Terrorismusfinanzierung.
Beide Begriffe werden oft synonym benutzt, was falsch ist. KYC ist ein Teilprozess von AML – der Einstiegsschritt, an dem die Identität geklärt wird. Alles, was danach kommt, ist Überwachung und Dokumentation. Wer nur an die Ausweisprüfung denkt, hat den kleineren Teil der Aufgabe im Blick.
Welche Regelwerke gelten
Für Krypto-Projekte in Deutschland greifen vier Ebenen: das nationale Geldwäschegesetz, die europäische Geldtransferverordnung mit der Travel Rule, der MiCA-Rahmen für Kryptowerte-Dienstleister und – ab Juli 2027 – die einheitliche EU-Geldwäscheverordnung.
Das Geldwäschegesetz (GwG) ist bislang der Referenztext für Sorgfaltspflichten in Deutschland. Es geht auf die europäischen Geldwäscherichtlinien zurück und wurde mehrfach angepasst. Zuständige Aufsicht für den Finanzsektor ist die BaFin; auf europäischer Ebene kommt seit 2025 die neue Behörde AMLA hinzu.
Der MiCA-Rahmen ist dabei nur ein Teil des Bildes. MiCA regelt Kryptowerte, die keine Finanzinstrumente im Sinne der MiFID II sind; für tokenisierte Wertpapiere gilt weiterhin das klassische Kapitalmarktrecht. Für die geldwäscherechtliche Seite ist entscheidend, dass ein Kryptowerte-Dienstleister mit MiCA-Zulassung damit auch als Verpflichteter eingeordnet wird. Wie diese Weichenstellung insgesamt funktioniert, haben wir im Beitrag zur rechtlichen Einordnung von Token-Projekten ausführlicher beschrieben.
Wichtig für die Einordnung des gesamten Artikels: Diese Regelwerke richten sich an definierte Adressatenkreise. Wer nicht dazugehört, hat keine unmittelbaren Pflichten aus ihnen – wohl aber mittelbare Anforderungen über seine Partner.
Wer ist verpflichtet – und wer nicht
Geldwäscherechtliche Pflichten treffen Verpflichtete. Dazu zählen unter der neuen EU-Systematik unter anderem Banken, Zahlungsdienstleister, Crowdfunding-Plattformen und Anbieter von Kryptodienstleistungen; ein CASP mit MiCA-Zulassung ist automatisch Verpflichteter. Ein Unternehmen, das eigene Token an Investoren ausgibt, gehört nicht automatisch dazu.
Damit zerfällt die Frage in zwei Teile, die man sauber trennen sollte. Die rechtliche Pflicht hängt an Rolle und Ausgestaltung – ob Sie Token nur emittieren oder darüber hinaus verwahren, tauschen oder vermitteln, macht den Unterschied. Die faktische Notwendigkeit besteht fast immer unabhängig davon: Ihre Bank verlangt Klarheit über die Mittelherkunft, ein lizenzierter Vertriebspartner darf ohne Prüfung nicht vermitteln, ein Verwahrer nimmt keine unverifizierten Investoren auf, und institutionelle Investoren erwarten ohnehin ein dokumentiertes Onboarding.
Die folgende Übersicht ordnet die typischen Rollen zu.
| Emittent eigener Token | nicht automatisch Verpflichteter | abhängig von Ausgestaltung und Angebotsform | Prüfung mit dem Rechtspartner |
| Kryptowerte-Dienstleister (CASP) | Verpflichteter | Identifizierung, Überwachung, Meldung, Aufbewahrung | lizenzierter Anbieter |
| Verwahrer / Custody | Verpflichteter | wie CASP, zusätzlich Verwahrpflichten | spezialisierter Dienstleister |
| Vertriebspartner mit BaFin-Erlaubnis | Verpflichteter | Anlegerprüfung, Dokumentation | Vertriebspartner |
| Zahlungsdienstleister / Bank | Verpflichteter | eigene Sorgfaltspflichten | Bank |
Diese Darstellung ist vereinfacht, und die konkrete Einordnung erfolgt immer im Einzelfall. Sie ersetzt keine Rechtsberatung – wir sind eine Tokenisierungs-Agentur, keine Kanzlei, und klären diese Frage in Projekten gemeinsam mit Partnerkanzleien. Rechtsstand August 2026.
Praktisch führt die Klärung fast immer zum selben Ergebnis: Auch wer selbst nicht Verpflichteter ist, baut die Prüfstrecke. Nur eben freiwillig und damit nach eigenen Regeln statt nach fremden.
Die Travel Rule: was seit Ende 2024 gilt
Die Travel Rule verpflichtet Kryptowerte-Dienstleister, bei Transfers Angaben zu Auftraggeber und Begünstigtem zu erfassen, mitzusenden und aufzubewahren. Rechtsgrundlage in der EU ist die Verordnung (EU) 2023/1113, die neugefasste Geldtransferverordnung, vollständig anwendbar seit dem 30. Dezember 2024.
Der entscheidende Unterschied zum klassischen Zahlungsverkehr: Für Kryptowert-Transfers gibt es keine Bagatellgrenze. Die vollständigen Angaben sind unabhängig vom Betrag zu erheben. Die häufig zitierte Schwelle von 1.000 Euro betrifft etwas anderes – nämlich zusätzliche Prüfpflichten bei Transfers von oder an selbst verwahrte Wallets, für die Kontrolle oder Inhaberschaft nachzuweisen ist. Zur einheitlichen Anwendung hat die Europäische Bankenaufsichtsbehörde eigene Leitlinien veröffentlicht.
Für Sie als Emittent bedeutet das meist keine direkte Pflicht, aber eine indirekte Anforderung. Sobald ein Dienstleister in Ihrer Kette – Verwahrer, Handelsplatz, Zahlungspartner – die Regel erfüllen muss, wirkt sie auf Ihr Setup zurück: bei der Datenerhebung im Onboarding, bei der Zuordnung von Wallets zu Investoren und bei der Frage, welche Wallet-Typen Sie überhaupt zulassen.
KYC im Investoren-Dashboard: die technische Umsetzung
Bei uns sitzt die Identitätsprüfung im Investoren-Dashboard, zwischen Registrierung und Kauf. Der Ablauf ist bewusst linear: Registrierung, Identitätsprüfung, Freischaltung, Wallet-Anbindung, Kauf. Erst wenn die Prüfung durch ist, wird die Kauffunktion sichtbar.
Die Reihenfolge klingt banal, entscheidet aber über die Abbruchquote. Wer Investoren erst den kompletten Kaufprozess durchlaufen lässt und die Ausweisprüfung ans Ende stellt, verliert Menschen an der teuersten Stelle. Umgekehrt schreckt eine Dokumentenprüfung direkt nach der E-Mail-Adresse ab, bevor jemand überhaupt weiß, worum es geht. Der brauchbare Kompromiss liegt dazwischen: erst Information und Zugang, dann Prüfung, dann Kauf.
Drei Dinge, die im Bau regelmäßig unterschätzt werden. Der Ablehnungsfall: Was passiert, wenn eine Prüfung scheitert oder unklar bleibt? Es braucht einen definierten Pfad, sonst entstehen manuelle Sonderlocken, die niemand dokumentiert. Die Nachweiskette: Prüfergebnisse, Zeitstempel und zugrundeliegende Dokumente müssen zusammenführbar bleiben, auch wenn der Prüfdienstleister ein externer ist. Die Wallet-Zuordnung: Ohne verlässliche Verknüpfung von geprüfter Identität und Wallet-Adresse ist die Prüfung für die spätere Transferlogik wertlos.
Genau dort wird der Token-Standard relevant. Bei ERC-3643 wirkt die Identitätsprüfung nicht nur beim Erstkauf, sondern auf Protokollebene: Übertragungen sind nur zwischen verifizierten Wallets möglich. Bei ERC-20, BEP-20 oder Solana SPL ist der Token frei übertragbar – Compliance muss dann über zusätzliche Schichten abgebildet werden. Welcher Standard zu welchem Vorhaben passt, haben wir beim Ethereum Token erstellen aufgeschlüsselt; wie das Dashboard in den Gesamtprozess einer Token-Emission eingebettet ist, beschreiben wir separat.
Kosten und Dauer sind bei uns kalkulierbar: Die Prüfstrecke ist Teil der technischen Umsetzung, die 15.000€ kostet und rund sechs Wochen dauert – kein Stundensatz, kein Nachschlag. Enthalten sind Smart Contract, Projektwebseite, Investoren-Dashboard mit KYC-Integration und der externe Audit über unsere Partner.
Für uns ist das kein Zusatzmodul, sondern Voraussetzung. Was in der Branche längst Standard ist, formuliert Dimitri so:
„KYC und AML sind im seriösen Token-Bereich keine Optionen, sondern Pflicht. Wir setzen das standardmäßig im Investoren-Dashboard auf – ohne KYC kommen die richtigen Investoren gar nicht erst.“ — Dimitri Haußmann, Gründer & Geschäftsführer Token Ersteller
Was sich bis 2027 ändert
Der wichtigste Termin ist der 10. Juli 2027: Ab diesem Datum gilt die EU-Geldwäscheverordnung (EU) 2024/1624 unmittelbar in allen Mitgliedstaaten und löst die nationalen Geldwäschegesetze weitgehend ab. Parallel ist die sechste Geldwäscherichtlinie bis dahin national umzusetzen.
Für Krypto-Projekte bedeutet das vor allem Vereinheitlichung. Statt nationaler Auslegungsunterschiede gelten dieselben Sorgfaltspflichten in der gesamten EU – ein Vorteil für Projekte, die in mehreren Mitgliedstaaten anbieten, und ein Anpassungsaufwand für alle, die ihre Prozesse bisher am deutschen GwG ausgerichtet haben. Die Aufsichtsbehörde AMLA baut ihre Befugnisse schrittweise aus und soll perspektivisch eine begrenzte Zahl besonders risikoreicher Unternehmen direkt beaufsichtigen.
| Geldtransferverordnung (EU) 2023/1113 | Travel Rule für Kryptotransfers | 30. Dezember 2024 |
| AMLA-Verordnung (EU) 2024/1620 | EU-Geldwäscheaufsicht, Sitz Frankfurt | operativ seit 1. Juli 2025 |
| AML-Verordnung (EU) 2024/1624 | einheitliche Sorgfaltspflichten | 10. Juli 2027 |
| Sechste Geldwäscherichtlinie (EU) 2024/1640 | nationale Mechanismen und Register | Umsetzung bis 10. Juli 2027 |
Wer heute ein Projekt aufsetzt, sollte diese Zeitachse kennen, aber nicht überbewerten. Prozesse, die den aktuellen Anforderungen genügen, werden 2027 in der Regel nicht wertlos – sie werden angepasst. Teuer wird es nur für Setups, die schon jetzt lückenhaft dokumentiert sind.
Die häufigsten Fehler bei KYC und AML in Token-Projekten
Fehler entstehen selten aus Nachlässigkeit, sondern aus Reihenfolge und Zuständigkeit. Bei den über 50 umgesetzten Tokenisierungen haben wir gesehen, dass sich die Probleme auf wenige, gut vermeidbare Muster verteilen.
Diese sechs begegnen uns am häufigsten:
- KYC erst nach dem Dashboard geplant. Die Prüfstrecke wird nachträglich eingebaut, die Nachweiskette hat dadurch Lücken, die sich rückwirkend nicht schließen lassen.
- Die Rolle wurde nie geklärt. Niemand hat geprüft, wer im Setup Verpflichteter ist – im Zweifel niemand, und dann fehlt die Prüfung ganz.
- Prüfung zu spät im Kaufprozess. Investoren steigen kurz vor Abschluss aus, weil sie an dieser Stelle nicht mit einer Dokumentenanforderung gerechnet haben.
- Nur EU-Anforderungen berücksichtigt. Angeboten wird international, geprüft wird nach einem einzigen Standard – das fällt spätestens beim ersten Investor außerhalb der EU auf.
- Kein definierter Umgang mit Ablehnungen. Unklare Fälle werden manuell entschieden und nicht dokumentiert.
- Dokumentation über mehrere Systeme verteilt. Prüfergebnisse hier, Kaufdaten dort, Wallet-Zuordnung im dritten Tool – im Prüfungsfall nicht zusammenführbar.
Vier dieser sechs Punkte sind Planungsfehler aus der Anfangsphase, nicht Betriebsfehler. Wer die Rollenfrage vor dem Dashboard-Bau klärt und die Prüfstrecke als Teil der Architektur begreift, hat sie als Nebeneffekt der Entwicklung – nicht als Projekt danach.
Bevor Sie in Technik investieren, klären wir, was Ihr Setup überhaupt braucht. In einem kostenlosen Strategiegespräch schauen wir uns Ihr Vorhaben an und sagen Ihnen offen, ob es tragfähig ist – auch dann, wenn die Antwort nein lautet. → Kostenloses Strategiegespräch vereinbaren
Mehrere Jurisdiktionen, mehrere Anforderungen
Sobald ein Projekt Investoren in mehr als einem Rechtsraum anspricht, gelten unterschiedliche Prüfanforderungen nebeneinander. Umfang der Erhebung, akzeptierte Dokumente und Prüftiefe unterscheiden sich zwischen EU, USA und Dubai teils erheblich.
Die Wahl der Jurisdiktion ist deshalb eine der frühen Weichenstellungen: Sie bestimmt nicht nur die zulässige Angebotsform, sondern auch, wie das Onboarding technisch aussehen muss. Wir arbeiten mit Rechtspartnern in DACH, der EU, den USA und Dubai; die rechtliche Strukturierung startet ab 10.000€ und dauert rund sechs Wochen. Welche Anforderungen im konkreten Fall gelten, klärt der Rechtspartner – nicht wir und nicht ein Ratgebertext.
Ein Beispiel aus der Praxis: Bei einer STO-Strukturierung mit Multi-Jurisdiktions-Setup (EU + Dubai) sollten Investoren aus zwei Rechtsräumen über dieselbe Oberfläche einsteigen. Die Anforderungen an Dokumente und Prüftiefe unterschieden sich, ein zweites Portal kam aber nicht infrage – doppelte Systeme hätten die Nachweiskette zerrissen. Umgesetzt wurde das als BEP-20 Token mit KYC-konformem Investoren-Onboarding: eine Oberfläche, im Hintergrund jurisdiktionsabhängige Prüfpfade und getrennte Dokumentationsstränge. Für den Investor ist der Unterschied unsichtbar, für die Prüfung nachvollziehbar. Weitere umgesetzte Projekte finden Sie in unserem Portfolio.
Fazit
Kostenloses Beratungsgespräch
FAQ
Muss ich als Token-Emittent selbst KYC durchführen?
Ob Sie geldwäscherechtlich verpflichtet sind, hängt von Ihrer Rolle ab – wer eigene Token ausgibt, ist nicht automatisch Verpflichteter, anders als etwa ein Kryptowerte-Dienstleister mit MiCA-Zulassung. Praktisch führt trotzdem kaum ein Weg an einer Prüfung vorbei, weil Bank, Vertriebspartner und Investoren sie voraussetzen. Wir setzen sie deshalb standardmäßig im Investoren-Dashboard auf, als Teil der technischen Umsetzung für 15.000€.
Was ist die Travel Rule bei Krypto und ab welchem Betrag gilt sie?
Die Travel Rule verpflichtet Kryptowerte-Dienstleister, bei Transfers Angaben zu Auftraggeber und Begünstigtem zu erfassen und weiterzugeben; Grundlage ist die Verordnung (EU) 2023/1113, anwendbar seit dem 30. Dezember 2024. Anders als bei klassischen Überweisungen gibt es für Kryptowert-Transfers keine Bagatellgrenze – die 1.000-Euro-Schwelle betrifft nur zusätzliche Prüfpflichten bei selbst verwahrten Wallets.
Was ändert sich 2027 durch die neue EU-Geldwäscheverordnung?
Ab dem 10. Juli 2027 gilt die AML-Verordnung (EU) 2024/1624 unmittelbar in allen Mitgliedstaaten und löst die nationalen Geldwäschegesetze weitgehend ab. Für Krypto-Projekte bedeutet das vereinheitlichte Sorgfaltspflichten statt nationaler Auslegungsunterschiede. Bei Multi-Jurisdiktions-Setups planen wir diese Entwicklung schon heute mit.
Wie kommt KYC technisch in einen Token-Verkauf?
Über das Investoren-Dashboard: Registrierung, Identitätsprüfung, Freischaltung, danach Wallet-Anbindung und Kauf. Bei Standards wie ERC-3643 wirkt die Prüfung zusätzlich auf Protokollebene, weil Übertragungen nur zwischen verifizierten Wallets möglich sind. Umgesetzt wird das bei uns in der technischen Phase von rund sechs Wochen.
Wie lange müssen KYC-Daten aufbewahrt werden?
Als Richtwert gelten im europäischen Geldwäscherecht mindestens fünf Jahre für Aufzeichnungen zu Kunden und Transaktionen. Die genauen Fristen, Verlängerungstatbestände und die anschließenden Löschpflichten hängen von Rolle und Rechtsraum ab und gehören in die Abstimmung mit dem Rechtspartner. Technisch sollte die Aufbewahrung von Anfang an so gebaut sein, dass Nachweise zusammenführbar bleiben.
Kann ich Token auch ohne KYC an Investoren verkaufen?
Ob eine Prüfpflicht besteht, hängt an Rolle und Angebotsform und lässt sich pauschal nicht beantworten. Praktisch scheitert ein Verkauf ohne Identitätsprüfung meist an anderer Stelle: Banken, lizenzierte Vertriebspartner und Verwahrer arbeiten ohne verifizierte Investoren nicht, und institutionelles Kapital erwartet ein dokumentiertes Onboarding. Projekte ohne Prüfstrecke begleiten wir nicht.
