KYC/AML beim Launch eines tokenisierten Produkts in der EU

Ein Launch-Playbook für Emittenten im Jahr 2026, mit dem regulatorischen EU-Countdown bereits eingebaut.

Wichtige Erkenntnisse

• KYC/AML für ein tokenisiertes Produkt in der EU ist keine einzelne Regel, sondern ein Stapel aus mehreren überlappenden Regelwerken: MiFID II, MiCAR, die Transfer-of-Funds-Verordnung (TFR), nationale Gesetze wie das deutsche eWpG, die ECSPR und das neue EU-Geldwäschepaket (AMLR, AMLA und AMLD6), das ab 10. Juli 2027 gilt.

• Die entscheidende Designentscheidung: Das KYC/AML-Framework, das Sie 2026 ausrollen, muss bereits AMLR-2027-fähig sein. Emittenten haben aktuell ein 18-Monats-Fenster, um die harmonisierten Regeln einzubauen, statt sie später nachzurüsten.

• Die EU-Geldwäschebehörde AMLA ist seit 1. Juli 2025 operativ und beaufsichtigt direkt bis zu 40 der risikoreichsten verpflichteten Einheiten.

• Die TFR (Verordnung 2023/1113) ist seit 30. Dezember 2024 durchsetzbar. Sie schreibt Originator- und Beneficiary-Daten ohne Schwellenwert vor und verlangt eine Wallet-Eigentumsprüfung für selbst verwahrte Wallets ab 1.000 Euro.

• Tokenisierte Real-World Assets haben im Mai 2026 die Marke von 34,5 Milliarden US-Dollar überschritten, ein Plus von über 100 Prozent gegenüber dem Vorjahr. Die regulatorische Reaktion ist schneller als die Compliance-Programme der meisten Emittenten.

Abbildung: Das EU-KYC/AML-Launch-Fenster, fünf regulatorische Meilensteine zwischen Dezember 2024 und Juli 2027. Quellen: Verordnung (EU) 2023/1113, Verordnung (EU) 2023/1114, Verordnung (EU) 2024/1624, Richtlinie (EU) 2024/1640, ESMA und ONINO-Analyse (Juni 2026).

Was KYC und AML beim Launch eines tokenisierten Produkts bedeuten

Kurz erklärt. KYC (Know Your Customer) ist der Identifikations- und Verifizierungsschritt, mit dem Sie jeden Investor erheben, prüfen und risikobewerten, bevor er Ihr Token berührt. AML (Anti-Money Laundering) ist das übergeordnete Programm, in das KYC einspeist: Sanktions- und PEP-Screening, Transaktionsüberwachung, Verdachtsmeldungen und laufendes Risikomanagement. Die Customer Due Diligence (CDD) ist die rechtliche Pflicht unter dem EU-Geldwäscherecht, die beides verlangt, ergänzt um eine Enhanced Due Diligence (EDD) für höhere Risiken. Bei einem tokenisierten Produkt müssen alle diese Pflichten im Emissionsprozess verankert sein, bevor das erste Token überhaupt geprägt wird.

Die KYC-Definition aus der klassischen Finanzwelt trägt im Tokenisierungs-Kontext nur bedingt. Im Bankgeschäft endet KYC mit dem Onboarding, alles Weitere passiert im Backoffice. Bei einem tokenisierten Produkt ist KYC kein einmaliger Check, sondern muss bei jeder einzelnen On-Chain-Übertragung durchsetzbar bleiben, auch bei Sekundärtransfers zwischen Haltern, die der Emittent nie persönlich gesehen hat. Dieser Punkt fehlt in den meisten Marketing-Unterlagen der Anbieter.

KYC, AML, CDD, KYB und EDD im Überblick

KYC ist die Verifikation der natürlichen Person, KYB (Know Your Business) die der juristischen Person samt deren wirtschaftlich Berechtigten. CDD ist der gesetzliche Rahmen, der beides vorschreibt und auf alle Investoren angewendet wird. EDD greift bei erhöhtem Risiko, etwa bei politisch exponierten Personen, Investoren aus FATF-Hochrisikoländern oder ungewöhnlich hohen Transaktionsvolumina. AML ist schließlich das Gesamtprogramm aus laufender Überwachung, Screening und Berichtswesen, in dem der Emittent als verpflichtete Einheit auftritt.

Wer ein tokenisiertes Angebot startet und KYC nur beim Onboarding ausführt, übersieht zwei Drittel dessen, was Aufsichtsbehörden bei einer Prüfung bewerten. CDD ohne laufende Überwachung ist keine CDD. Das ist die häufigste Lücke in jüngeren EU-Vollstreckungsfällen.

Der EU-Regulierungsstack, den Sie kennen müssen

Der häufigste Launch-Fehler besteht darin, sich für ein KYC-Framework zu entscheiden, bevor klar ist, unter welchem EU-Regime das eigene Instrument tatsächlich steht. Welche KYC-Regeln gelten, ergibt sich aus dem Instrument, nicht aus der Technologie.

Regelwerk für Regelwerk

Eine zentrale Klarstellung. Die ESMA-Leitlinien vom März 2025 bestätigen, dass MiCAR tokenisierte Wertpapiere nicht erfasst. Diese bleiben Finanzinstrumente unter MiFID II, der Prospektverordnung und den jeweiligen nationalen Regimen. Wer eine Plattform oder einen KYC-Anbieter primär wegen dessen MiCAR-Readiness wählt, obwohl er ein Sicherheitstoken emittiert, baut auf der falschen Grundlage. Das EU-KYC-Framework für solche Emissionen ist MiFID II plus nationales Wertpapierrecht plus die AML-Overlay-Pflichten. MiCAR wird erst relevant, wenn die Struktur einen Krypto-Asset-Layer aufweist, etwa für Stablecoin-Ausschüttungen.

Warum 2026 ein besonderes Launch-Jahr ist

Drei Zeitlinien laufen aufeinander zu. Die TFR ist bereits durchsetzbar und die 1.000-Euro-Regel für selbst verwahrte Wallets ist heute nicht verhandelbar. Die MiCAR-Übergangsphase endet zum 1. Juli 2026, womit das Grandfathering für bestehende CASPs ausläuft. Und am 10. Juli 2027 tritt die AMLR mit einem einheitlichen Regelwerk an die Stelle der bislang 27 nationalen Auslegungen.

Wer 2026 startet, muss für die heutigen Regeln liefern und gleichzeitig für AMLR-2027 bauen. Praktisch heißt das: das KYC-Framework muss bereits die harmonisierte UBO-Schwelle von 25 Prozent und mehr unterstützen, eIDAS-2- und EUDI-Wallet-fähig sein und Schnittstellen zur AMLA-Berichterstattung mitbringen. Eine Nachrüstung 2027 ist teurer als die richtige Architektur 2026.

Die FATF-Basis, die jeder EU-Launch erbt

Die FATF legt das Fundament, auf dem jede EU-Verordnung aufsetzt. Drei Empfehlungen prägen die Pflichten unmittelbar: Empfehlung 10 als globaler CDD-Standard für Kundenidentifikation, wirtschaftliche Berechtigung, Geschäftszweck und laufende Überwachung. Empfehlung 15 dehnt die AML/CFT-Pflichten auf Virtual Asset Service Provider aus, auf demselben Niveau wie Finanzinstitute. Empfehlung 16 ist die Travel Rule, nach der Identifikationsinformationen bei Krypto-Transfers zwischen regulierten Parteien mitlaufen müssen.

Eine Zahl ordnet das Bild ein: Mitte 2025 erfüllten nur 29 Prozent der von der FATF bewerteten Jurisdiktionen Empfehlung 15 weitgehend. Wer ein tokenisiertes Produkt mit grenzüberschreitendem CASP-Verkehr launcht, muss davon ausgehen, dass die Gegenstelle nicht durchgängig R.15-konform ist. Genau diese Annahme ist der Unterschied zwischen einem belastbaren Launch und einem, der beim ersten Cross-Border-Transfer kippt.

Der Launch-Workflow in acht Stufen

Diesen Teil überspringen die meisten Inhalte. Der KYC-Prozess für einen tokenisierten Launch ist ein sequenzieller Workflow, nicht eine einzelne Integration.

Stufe 1: Vor-Launch-Risikoanalyse

Vor jeder Anbieterwahl wird das Risikoprofil dokumentiert: Instrument, Jurisdiktionen, Anlegerkategorien (Privat, professionell, institutionell), erwartete Transaktionsvolumina und FATF-Exposure. Das Ergebnis ist das KYC-Framework, das alle nachfolgenden Entscheidungen steuert. Ohne diese Grundlage wird jedes Anbieter-RFP zu einem Feature-Vergleich statt einer Fit-Entscheidung.

Stufe 2: Auswahl des KYC/AML-Dienstleisters

Der Anbietermarkt ist dicht. Die wichtigsten Auswahlkriterien beim Shortlisting: Werden alle Ziel-Länder mit nativer Sprachunterstützung abgedeckt oder nur über Subdienstleister? Unterstützt der Anbieter selbst verwahrte Wallets nach TFR-Maßstab, also kryptografische Signatur und Mikro-Transaktion gleichermaßen? Ist die Videoidentifikation BaFin-konform vorhanden? Wie weit ist die Anbindung an eIDAS 2 und die EUDI-Wallet? Sind die Webhooks signiert (mindestens HMAC-SHA256) und in Echtzeit, statt per Polling? Sind alle relevanten Sanktionslisten (OFAC, EU-Konsolidiert, UN, HM Treasury, jurisdiktionsspezifisch) abgedeckt und werden sie in Echtzeit aktualisiert? Und liefert der Anbieter einen vollständigen Audit-Trail jeder Compliance-Entscheidung, inklusive Begründung und nicht nur Ergebnis?

Stufe 3: Customer Due Diligence designen

Definieren Sie einen Standard-CDD-Flow für niedrige Risiken und einen separaten EDD-Flow für höhere Risiken. Beide müssen deterministisch sein, nicht Einzelfallentscheidungen. Für institutionelle Investoren kommt eine eigene KYB-Schicht hinzu: Verifikation der juristischen Person, Satzung, Handelsregisterauszug und vollständiges KYC für jeden wirtschaftlich Berechtigten ab der Schwelle von 25 Prozent. Diese Schwelle ist mit der ab Juli 2027 geltenden AMLR-Logik abgestimmt und sollte heute schon parametrisierbar sein.

Stufe 4: Beneficial Ownership und Kundenidentifikation

Erforderliche Dokumente sind ein amtlicher Lichtbildausweis, ein Adressnachweis (Rechnung, Kontoauszug oder Behördenschreiben, nicht älter als drei Monate) und eine biometrische Lebendigkeitsprüfung. Für jeden UBO einer juristischen Person wird ein sicherer, zeitlich begrenzter Verifikationslink generiert (JWT-basiert, kurze Gültigkeit). Der UBO durchläuft sein eigenes KYC, das Ergebnis wird über Webhook in den Compliance-Status der Muttergesellschaft eingespielt. Verfolgen Sie Entitäts- und UBO-Verifikation als zwei Dimensionen einer State Machine, nicht als einzelnen Booleschen Wert.

Stufe 5: Sanktions-, PEP- und Adverse-Media-Screening

Jeder Investor wird beim Onboarding gegen die OFAC-SDN-Liste, die EU-Konsolidierten Sanktionsliste, die UN-Liste, HM Treasury bei UK-Bezug sowie alle jurisdiktionsspezifischen Listen geprüft. Politisch exponierte Personen und ihr engerer Kreis lösen unabhängig vom Volumen EDD aus. Adverse-Media-Screening identifiziert negative Berichterstattung zu Finanzkriminalität, Betrug oder Korruption. Das Screening läuft in Echtzeit gegen aktualisierte Listen. Periodische Batch-Checks gegen Snapshots halten einer Aufsichtsprüfung nicht stand.

Stufe 6: On-Chain-Identitätsebene

Diesen Teil übernehmen die meisten reinen KYC-Anbieter nicht selbst. Sobald ein Investor die Off-Chain-Verifikation bestanden hat, muss dieser Status auf der Blockchain durchsetzbar werden. Der Standard ERC-3643 (T-REX), entwickelt von Tokeny und 2026 mit über 32 Milliarden US-Dollar im T-REX-Netzwerk verankert, ist die De-facto-Antwort für institutionelle Tokenisierung in der EU. Der Mechanismus: Jeder verifizierte Investor erhält einen On-Chain-Identitätsvertrag (ONCHAINID), der kryptografische Ansprüche über seinen Verifikationsstatus trägt. Die Plattform signiert eine Compliance-Bestätigung und hängt sie an diese Identität an. Die Wallet wird im Identity Registry des Tokens hinterlegt. Der Anspruch enthält keine personenbezogenen Daten, sondern ein signiertes Attest, dass eine Verifikation stattgefunden hat. Genau diese Trennung erlaubt DSGVO-konforme Datenlöschung, ohne die On-Chain-Durchsetzbarkeit zu brechen.

Stufe 7: Travel Rule und TFR-Integration

Die TFR ist seit 30. Dezember 2024 durchsetzbar. Bei jedem Transfer zwischen Ihrer Plattform und einem anderen CASP müssen Originator- und Beneficiary-Daten mitlaufen: Name, Account-Identifier (Wallet-Adresse), je nach Jurisdiktion auch Adresse, Geburtsdatum oder nationale Ausweisnummer. Die empfangende Seite verifiziert in Echtzeit. Für selbst verwahrte Wallets ab 1.000 Euro ist eine Eigentumsprüfung Pflicht, entweder per kryptografischer Signatur oder per Mikro-Transaktion. Wählen Sie ein Travel-Rule-Protokoll (TRISA, TRUST oder OpenVASP) und integrieren Sie es vor dem Launch in den Withdrawal- und Transfer-Flow. Eine Nachrüstung nach Volumenwachstum ist deutlich aufwendiger. Hinweis: Die Kommission prüft Artikel 37 TFR bis 30. Juni 2026 und kann zusätzliche Restriktionen für selbst verwahrte Wallets einführen.

Stufe 8: Laufende Überwachung und KYC-Refresh

CDD endet nicht beim Onboarding. Transaktionen werden fortlaufend auf verdächtige Muster überwacht: Strukturierung, Mixer-Interaktionen, schnelles Wallet-Hopping, Aktualisierungen der Sanktionslisten, Veränderungen im PEP-Status, Adverse-Media-Treffer. Ein risikobasierter KYC-Refresh-Zyklus sieht für hochriskante Investoren einen jährlichen Review vor, für mittlere Risiken alle zwei Jahre, für niedrige Risiken alle drei Jahre. Ereignisgetriebene Re-Verifikation greift, sobald sich PEP-Status, Sanktionslage oder Transaktionsmuster materiell verändern. Die Aufbewahrungsfrist beträgt unter EU-AML-Recht mindestens fünf Jahre.

Selbst verwahrte Wallets und die 1.000-Euro-Schwelle

Die TFR verlangt für Transfers an oder von selbst verwahrten Wallets ab 1.000 Euro eine Prüfung, dass der Kunde das jeweilige Wallet besitzt oder kontrolliert. Eine einheitliche Methode hat der Gesetzgeber nicht vorgegeben. In der Praxis haben sich zwei Ansätze etabliert. Die kryptografische Signatur, bei der der Kunde eine Nachricht mit dem privaten Schlüssel des Wallets signiert, liefert einen starken Beweis, scheitert aber bei vielen Retail-Nutzern an der technischen Hürde. Die Mikro-Transaktions-Verifikation, bei der ein kleiner Token-Betrag vom Wallet an eine Verifikationsadresse gesendet wird, erzeugt weniger Friktion, kostet aber Zeit und On-Chain-Gebühren.

Blockchain-Analytics ist ein nützlicher Risiko-Filter, ersetzt aber keine TFR-konforme Eigentumsprüfung. Die ESMA hat in ihrem CASP Supervisory Briefing vom 31. Januar 2025 klargestellt, dass Verfahren für die Verifikation selbst verwahrter Wallets Bestandteil jedes CASP-Zulassungsantrags sein müssen.

Der deutsche Registerführer

Für jedes tokenisierte Produkt, das in Deutschland als Kryptowertpapier nach dem eWpG begeben wird, kommt eine Abhängigkeit hinzu, die viele nicht-deutsche Guides übersehen: der Kryptowertpapierregisterführer. Dabei handelt es sich um eine BaFin-regulierte Stelle nach § 16 eWpG, die das kryptografische Register der Inhaber des Wertpapiers führt. Die Zulassung liegt unter § 1 Abs. 1a Satz 2 Nr. 8 KWG und ist von der Kryptoverwahr-Lizenz nach § 1 Abs. 1a Satz 2 Nr. 6 KWG zu unterscheiden, auch wenn einige Anbieter beide Lizenzen halten.

Tangany aus München ist derzeit der am weitesten verbreitete Registerführer im deutschen Markt, mit vorläufiger BaFin-Erlaubnis für den Betrieb von Kryptowertpapierregistern. Klären Sie vor der Vertragsunterzeichnung mit einer Plattform, mit welchem Registerführer sie bereits Live-Emissionen gefahren ist, ob der Vertrag zwischen Plattform und Registerführer direkt geschlossen wird oder Sie separat kontrahieren müssen, wie sich die kombinierten Gebühren zusammensetzen (typischerweise 1.000 bis 2.000 Euro je Emission auf Seite des Registerführers) und ob Haftungsdach-Gebühren (häufig rund 1.000 Euro je Emission) anfallen. Die deutsche Launch-Fähigkeit einer Plattform ist nur so belastbar wie ihre dokumentierten Registerführer-Beziehungen und Live-Referenzen.

Welche Dokumente Sie wirklich erheben

Für natürliche Personen verlangt das Standard-Bündel einen amtlichen Lichtbildausweis (Reisepass, Personalausweis oder Führerschein), einen Adressnachweis aus den letzten drei Monaten, eine biometrische Lebendigkeitsprüfung mit aktiver Liveness und idealerweise zusätzlich passiver Analyse oder 3D-Tiefenerkennung gegen Deepfake-Injektionen sowie, je nach Land, eine Steueridentifikationsnummer.

Für juristische Personen kommen Gründungsurkunde, Satzung, Sitznachweis, Handelsregisterauszug, Geschäftsführer- und UBO-Listen hinzu, ergänzt um ein vollständiges KYC für jeden UBO ab 25 Prozent. Für Hochrisiko-Investoren in der EDD-Schiene werden zusätzlich Quellen der Mittel und des Vermögens, der Zweck der Geschäftsbeziehung und erweiterte Screening-Dokumentation erhoben. Halten Sie für jede Investorenkategorie eine versionierte KYC-Compliance-Vorlage vor. Die Begründung, im Vorjahr seien andere Unterlagen geprüft worden, ist in einer AMLA-Prüfung keine belastbare Verteidigung.

Häufige Fehler beim KYC/AML-Launch

Fünf Muster treten im DACH- und EU-Mittelstand wiederkehrend auf. Erstens wird KYC als reine Onboarding-Checkbox behandelt. Wer KYC beim Onboarding ausführt und sich danach als compliant betrachtet, übersieht zwei Drittel der von AMLA-Aufsichtslogik geprüften Punkte. CDD ohne laufende Überwachung ist keine CDD. Zweitens wird ein Anbieter primär wegen seiner MiCAR-Readiness gewählt, obwohl das emittierte Token ein Wertpapier ist. Die ESMA hat klargestellt: Tokenisierte Wertpapiere stehen unter MiFID II, nicht unter MiCAR. Drittens existiert Off-Chain-Verifikation ohne On-Chain-Durchsetzung. Wer einen Investor verifiziert und ihm einen Standard-ERC-20 in die Wallet schickt, hat eine beratende, keine automatische Compliance. ERC-3643 oder ein äquivalenter Standard schließt diese Lücke. Viertens werden personenbezogene Daten zentralisiert akkumuliert. Jedes über die regulatorische Notwendigkeit hinaus gehaltene Feld ist eine Haftungsposition (Speicherpflicht, Meldepflicht bei Datenpannen, Zugriffsprotokollierung und unter AMLR steigende Aufsichtsanforderungen). Envelope-Verschlüsselung mit Verify-then-shred ist die belastbarere Richtung. Fünftens wird für die heutigen Regeln gebaut und die AMLR-Anpassung als Projekt für 2027 vertagt. Genau dieses Vertagen ist der teuerste Launch-Fehler des Jahres 2026.

Pre-Launch-Checkliste

Vor dem Go-Live sollten zwölf Punkte dokumentiert und intern abgenommen sein. Risikoanalyse für Instrument, Regime, Jurisdiktionen, Anlegerkategorien und FATF-Exposure liegt vor. Das KYC-Framework ist definiert, inklusive CDD-Standard, EDD-Auslöser, Refresh-Kadenz und Eskalationspfaden. Der KYC/AML-Dienstleister ist vertraglich gebunden, mit dokumentierter Abdeckung, eIDAS-2-Unterstützung, Echtzeit-Sanktionslisten und Audit-Trail-Tiefe. Die Webhook-Integration ist getestet, mit signierten Payloads (HMAC-SHA256 oder stärker) und definierten Fehlerpfaden. Die Verschlüsselung im Ruhezustand ist als Envelope-Architektur für alle KYC-Daten eingerichtet. Die UBO-Logik mit 25-Prozent-Schwelle ist AMLR-konform parametrisiert, niedrigere Schwellen (15 Prozent für Hochrisikobranchen) sind konfigurierbar. Sanktions- und PEP-Screening ist gegen OFAC, EU, UN, HM Treasury und jurisdiktionsspezifische Listen aktiv. Die On-Chain-Identitätsverträge sind deployed, das Compliance-Modul ist konfiguriert. Die TFR-Integration ist live, mit Travel-Rule-Protokoll, 1.000-Euro-Eigentumsprüfung für selbst verwahrte Wallets und vollem Datenfluss. Für deutsche eWpG-Emissionen ist die Registerführer-Beziehung vertraglich geregelt. Die laufende Überwachung und der KYC-Refresh-Zeitplan sind risikobasiert und ereignisgesteuert dokumentiert, mit Aufbewahrung über mindestens fünf Jahre. Die Governance ist beschrieben, mit benanntem Geldwäschebeauftragten, Schulungsplan, Berichtswegen und geplanten unabhängigen Prüfungen.

Was 2026 und 2027 noch verändert

Drei Entwicklungen prägen die nächsten 18 Monate. Erstens steht der TFR-Artikel-37-Review der Kommission bis 30. Juni 2026 an, der zusätzliche Einschränkungen für selbst verwahrte Wallet-Transfers bringen kann. Halten Sie die Verifikationsstrecke konfigurierbar. Zweitens endet die MiCAR-Übergangsphase am 1. Juli 2026. Das Grandfathering für bestehende CASPs läuft aus, alle aktiven Anbieter müssen über eine Zulassung verfügen. Drittens beginnt am 10. Juli 2027 die Anwendung der AMLR samt AMLD6, das größte EU-AML-Harmonisierungsereignis seit einem Jahrzehnt. Die KYC-Pflichten werden über alle 27 Mitgliedstaaten hinweg von einer einzigen Verordnung definiert und teilweise direkt von der AMLA beaufsichtigt.

Über 2027 hinaus erwartet McKinsey ein Marktvolumen tokenisierter Real-World Assets von 2 Billionen US-Dollar bis 2030, Standard Chartered geht für 2034 von 30 Billionen US-Dollar aus. Die Wachstumskurve ist schneller als die meisten Compliance-Programme skalieren. Das richtige KYC-Framework in der Launch-Architektur zu verankern ist die Entscheidung, die darüber entscheidet, ob ein tokenisiertes Produkt diese Kurve übersteht.

Häufig gestellte Fragen

Was bedeutet KYC/AML-Compliance für ein tokenisiertes Produkt in der EU?

Es ist die gesetzliche Pflicht, jeden Investor zu identifizieren und zu verifizieren, gegen Sanktions- und PEP-Listen zu prüfen, sein Risiko einzuschätzen und über die gesamte Beziehung zu überwachen. Bei tokenisierten Produkten reicht diese Pflicht über das Onboarding hinaus bis in jede einzelne On-Chain-Übertragung. Genau deshalb muss das KYC-Framework off-chain und on-chain durchsetzbar sein.

Welche EU-Regulierung gilt für Token-Emittenten?

Der aktuelle Stack besteht aus MiFID II, der Prospektverordnung, nationalen Gesetzen wie dem deutschen eWpG oder den Luxemburger Blockchain-Gesetzen I bis IV und der TFR. Ab 10. Juli 2027 vereinheitlicht die AMLR (Verordnung (EU) 2024/1624) zusammen mit AMLD6 (Richtlinie (EU) 2024/1640) die Customer-Due-Diligence-Regeln über alle Mitgliedstaaten hinweg, beaufsichtigt von der AMLA. MiCAR betrifft Krypto-Asset-Strukturen wie ART, EMT und Utility-Token, jedoch nicht tokenisierte Wertpapiere.

Wie geht man unter der TFR mit selbst verwahrten Wallets um?

Ab einem Schwellenwert von 1.000 Euro muss der CASP nachweisen, dass der Kunde das selbst verwahrte Wallet kontrolliert. Praktisch akzeptiert sind die kryptografische Signatur (Kunde signiert eine Nachricht mit dem privaten Schlüssel) und die Mikro-Transaktions-Methode (kleiner Transfer vom Wallet an eine Verifikationsadresse). Blockchain-Analytics ist ein zusätzlicher Risiko-Check, jedoch kein eigenständig konformer Nachweis. Dokumentieren Sie den gewählten Ansatz und seien Sie in einer CASP-Prüfung verteidigungsfähig.

Was kostet KYC/AML beim Launch eines tokenisierten Produkts?

Drei grobe Bänder. Je Verifikation eines Privatkunden liegen die Gebühren bei 1 bis 10 Euro, abhängig von Liveness, Dokumentenabdeckung und Tiefe des Sanktionsscreenings. Institutionelles KYB bewegt sich bei 30 bis über 200 Euro je Entität. Die Plattform-seitige KYC-Orchestrierung mit On-Chain-Identitätsanbindung ist in den meisten Tokenisierungs-Plattformgebühren enthalten. Für eine deutsche Kryptowertpapier-Emission kommen rund 1.000 bis 2.000 Euro je Emission für den Registerführer sowie etwa 1.000 Euro für ein Haftungsdach hinzu. Transparente Preisgestaltung gehört in jeden Anbieter-RFP. Intransparenz ist das häufigste Kosten-Risiko in diesem Markt.

Zusammenfassung

• Die EU regelt KYC/AML beim Launch eines tokenisierten Produkts über einen Stack aus MiFID II, MiCAR, TFR, nationalen Gesetzen und ab 2027 dem einheitlichen AMLR/AMLD6-Regelwerk samt AMLA-Aufsicht.

• Wer 2026 launcht, hat ein 18-Monats-Fenster, um die Architektur direkt AMLR-2027-fähig zu bauen, statt sie später nachzurüsten.

• Die TFR ist bereits durchsetzbar, einschließlich der 1.000-Euro-Eigentumsprüfung für selbst verwahrte Wallets und der zero-threshold Datenpflichten bei jedem Krypto-Transfer.

• Off-Chain-Verifikation muss in eine On-Chain-Durchsetzungsebene übersetzt werden, in der EU heute typischerweise über ERC-3643 mit ONCHAINID-Verträgen, signierten Compliance-Bestätigungen und einem Identity Registry.

• Für deutsche eWpG-Emissionen entscheidet die Registerführer-Beziehung der Plattform mit darüber, wie tragfähig die KYC/AML-Strecke in der Praxis ist.

Über ONINO. ONINO stellt die Infrastruktur für regulierte tokenisierte Finanzierungen in der EU und der Schweiz bereit. Gebrandete White-Label-Umgebungen gehen in unter 24 Stunden live, mit transparenten Drei-Stufen-Preisen. Der vollständige KYC- und AML-Stack ist von Tag eins eingebaut: Off-Chain-Verifikation, verschlüsselte PII-Verarbeitung, ERC-3643-On-Chain-Identität, TFR-fähige Transfer-Durchsetzung und AMLR-2027-konforme UBO-Logik.

Demo buchen