EU-Travel-Rule: Warum Ihre Börse nach Ihrer Wallet fragt und was zu tun ist, wenn eine Auszahlung gestoppt wird

Wenn Sie versuchen, Krypto von einer europäischen Börse auf eine Wallet zu bewegen, die Sie selbst kontrollieren, und die Börse fragt, wem die Adresse gehört, oder verlangt einen Nachweis, begegnen Sie der „Travel Rule“. Seit dem 30. Dezember 2024 steht sie im EU-Recht als Verordnung (EU) 2023/1113, und die Europäische Bankenaufsichtsbehörde hat detaillierte Leitlinien veröffentlicht, wie Börsen sie anwenden sollen. Dieser Leitfaden legt anhand des Verordnungstexts und der Leitlinien dar, was verlangt wird, was nicht, wie Besitzprüfungen in der Praxis ablaufen und wie Sie einen gestoppten oder zurückgewiesenen Transfer vermeiden.

Die Kurzfassung

• Die Regel: Die Verordnung (EU) 2023/1113 verpflichtet Anbieter von Krypto-Dienstleistungen (CASP), mit jedem Krypto-Transfer Angaben zu Sender und Empfänger zu übermitteln und diese Angaben zu erheben, wenn ein Transfer eine Wallet betrifft, die nicht bei einem CASP geführt wird. Sie gilt seit dem 30. Dezember 2024.
• Ihre eigene Wallet heißt „selbst gehostete Adresse“: eine Ledger-Adresse, die weder mit einem CASP noch mit einem ähnlichen Anbieter außerhalb der EU verbunden ist (Artikel 3 Nummer 20).
• Bei jedem Betrag muss Ihre Börse die Angaben zu Sender und Empfänger für einen Transfer zu oder von Ihrer Wallet einholen und aufbewahren und den Transfer einzeln identifizieren können (Artikel 14 Absatz 5 und Artikel 16 Absatz 2).
• Über 1.000 Euro muss die Börse zusätzlich angemessene Maßnahmen ergreifen, um zu beurteilen, ob die Adresse Ihnen gehört oder von Ihnen kontrolliert wird (dieselben Artikel). Daher kommen Aufforderungen zum Signieren einer Nachricht und kleine Testüberweisungen.
• Was nicht erfasst ist: ein Transfer von Person zu Person ohne Beteiligung eines CASP (Artikel 2 Absatz 4).
• Was schiefgehen kann: Eine Börse darf einen Transfer nicht ausführen, bevor sie die Vorgaben erfüllt (Artikel 14 Absatz 8), und eine Börse, die einen Transfer mit fehlenden Angaben erhält, muss risikobasiert entscheiden, ob sie ihn ausführt, ablehnt, zurücküberweist oder aussetzt (Artikel 17).

Woher die Regel kommt

Die „Travel Rule“ ist der Name eines Standards, der zuerst für Banküberweisungen galt: Informationen über Sender und Empfänger sollen mit dem Geld „reisen“. Die Verordnung (EU) 2023/1113, angenommen am 31. Mai 2023, dehnt ihn auf Kryptowerte aus und fasst die älteren Vorschriften zu Geldtransfers neu. Artikel 40 bestimmt, dass sie „ab dem 30. Dezember 2024 gilt“.

Artikel 2 Absatz 1 legt den räumlichen Anwendungsbereich fest: Die Verordnung gilt für Kryptowerte-Transfers, einschließlich solcher über Krypto-Geldautomaten, wenn der CASP oder der zwischengeschaltete CASP des Senders („Originator“) oder des Empfängers („Begünstigter“) seinen Sitz in der Union hat. Das hat auch für Leser außerhalb der EU eine praktische Folge: Wenn Sie eine Nicht-EU-Börse nutzen, um an eine EU-Börse zu senden oder von ihr zu empfangen, ist die EU-Börse erfasst.

Die Europäische Bankenaufsichtsbehörde (EBA) hat dann die Leitlinien EBA/GL/2024/11 erlassen, die „Travel Rule Guidelines“, die ebenfalls ab dem 30. Dezember 2024 gelten. Laut der finnischen Finanzaufsicht, die sie veröffentlicht hat, legen sie fest, welche Informationen einen Transfer begleiten sollen, regeln die Strategien, die Börsen für den Umgang mit fehlenden Informationen brauchen, und „geben Hinweise zu Maßnahmen, um Geldwäsche- und Terrorismusfinanzierungsrisiken bei Transfers von Kryptowerten zu oder von einer selbst gehosteten Adresse zu erkennen und zu bewerten“. Sie ersetzen die früheren gemeinsamen Leitlinien der Aufsichtsbehörden von 2017. Nach der Gründungsverordnung der EBA „unternehmen Finanzinstitute alle Anstrengungen“, solchen Leitlinien nachzukommen. In der Praxis erklären die Leitlinien einen großen Teil dessen, was Sie auf dem Auszahlungsbildschirm erleben.

Welche Informationen einen Transfer begleiten

Artikel 14 listet die Daten auf, die die Börse des Senders beifügen oder getrennt auf sicherem Weg vor oder gleichzeitig mit dem Transfer senden muss. Sie müssen nicht in die Blockchain-Transaktion selbst geschrieben werden.

Vor dem Senden muss die Börse des Senders die Richtigkeit der Senderangaben anhand einer zuverlässigen und unabhängigen Quelle prüfen (Artikel 14 Absatz 6). Diese Pflicht gilt als erfüllt, wenn Sie bei der Kontoeröffnung bereits nach der EU-Geldwäscherichtlinie identifiziert wurden (Artikel 14 Absatz 7). Die Börse „lässt keine Veranlassung oder Ausführung eines Transfers zu“, bevor sie die Vorgaben vollständig erfüllt (Artikel 14 Absatz 8). Die Daten müssen „auf sichere Weise und im Einklang mit der Verordnung (EU) 2016/679“, der DSGVO, übermittelt werden (Artikel 14 Absatz 4).

Ihre eigene Wallet: was die Verordnung sagt

Artikel 3 Nummer 20 definiert eine selbst gehostete Adresse als „eine Distributed-Ledger-Adresse, die weder mit a) einem Anbieter von Krypto-Dienstleistungen noch b) einer nicht in der Union niedergelassenen Einrichtung, die ähnliche Dienstleistungen erbringt, verbunden ist“. Eine Hardware-Wallet, eine von Ihnen kontrollierte Software-Wallet und eine Paper-Wallet fallen darunter. Eine Adresse bei einer anderen Börse nicht.

Für Transfers von Ihrer Börse zu Ihrer eigenen Wallet sagt Artikel 14 Absatz 5, die Börse „holt die Angaben zu Sender und Empfänger ein und bewahrt sie auf und stellt sicher, dass der Transfer einzeln identifiziert werden kann“. Weiter heißt es: „Bei einem Transfer von mehr als 1 000 EUR an eine selbst gehostete Adresse ergreift der Anbieter von Krypto-Dienstleistungen des Originators angemessene Maßnahmen, um zu beurteilen, ob diese Adresse im Eigentum oder unter der Kontrolle des Originators steht.“

Für Transfers in die andere Richtung spiegelt Artikel 16 Absatz 2 das: Die empfangende Börse muss die Angaben einholen und aufbewahren und bei einem Betrag von mehr als 1.000 EUR „von einer selbst gehosteten Adresse“ angemessene Maßnahmen ergreifen, um zu beurteilen, ob Sie die Adresse besitzen oder kontrollieren. Beide Artikel gelten „unbeschadet“ spezifischer risikomindernder Maßnahmen nach der Geldwäscherichtlinie.

Wie die 1.000-Euro-Grenze gemessen wird

Die EBA-Leitlinien (Absätze 81 und 82) sagen, die Börse solle prüfen, ob der Transfer 1.000 Euro erreicht oder übersteigt, und zwar im Moment der Auftragserteilung bei der sendenden Börse bzw. zum Zeitpunkt des Eingangs bei der empfangenden. Maßgeblich ist der Euro-Wert des Kryptowerts zum Zeitpunkt des Transfers, „unabhängig von etwaigen Transaktionsgebühren“. Die Grenze betrifft also den Wert dessen, was bewegt wird, zu diesem Zeitpunkt umgerechnet, und dieselbe Menge Coins kann an einem Tag unter und an einem anderen über der Grenze liegen.

Zwei Lesarten sollte man auseinanderhalten. Unter der Grenze erhebt die Börse die Angaben trotzdem und hält den Transfer einzeln identifizierbar. Über der Grenze kommt die Besitzprüfung hinzu. Ein Unterschied in der Formulierung ist zu beachten: Die Verordnung sagt „mehr als 1 000 EUR“, die EBA-Leitlinie spricht von Transfers, die diesen Betrag erreichen oder übersteigen, sodass eine Börse ihre Prüfungen schon ab genau 1.000 Euro anwenden kann.

Wie Börsen prüfen, dass die Adresse Ihnen gehört

Die Verordnung spricht von „angemessenen Maßnahmen“, ohne sie zu definieren. Die EBA-Leitlinien (Absatz 83) füllen die Lücke. Eine Börse „sollte mindestens eine“ der folgenden Methoden verwenden:

1. Unbeaufsichtigte Verifizierung im Sinne der EBA-Leitlinien zum Remote-Onboarding, bei der die Adresse angezeigt wird.
2. Beaufsichtigte Verifizierung nach denselben Leitlinien.
3. Das Senden eines vorab festgelegten Betrags von und an die selbst gehostete Adresse auf das Konto der Börse, „vorzugsweise die kleinste Stückelung“ des Assets, von der Börse festgelegt.
4. Eine digital signierte Nachricht: „den Kunden auffordern, eine bestimmte Nachricht im Konto und in der Wallet-Software mit dem zu dieser Adresse gehörenden Schlüssel digital zu signieren“.
5. Andere geeignete technische Mittel, die eine zuverlässige und sichere Beurteilung erlauben und die Börse „vollständig davon überzeugen, dass sie weiß, wer die Adresse besitzt oder kontrolliert“.

Die Leitlinien sagen, die Wahl solle von den technischen Möglichkeiten der Adresse, der Belastbarkeit jeder Methode und dem Geldwäscherisiko abhängen (Absatz 84). Reicht eine Methode allein nicht aus, sollte die Börse mehrere kombinieren (Absatz 85). Deshalb kann eine Börse mehr als eine Sache verlangen, etwa sowohl eine signierte Nachricht als auch eine kurze Videoprüfung.

Whitelisting

Absatz 86 erklärt die Idee hinter dem Schritt „Diese Adresse zur Auszahlungs-Whitelist hinzufügen“. Sobald die Börse vollständig überzeugt ist, dass die Adresse Ihnen gehört, sollte sie dies dokumentieren und „muss die obigen Maßnahmen bei späteren Transaktionen“ mit derselben Adresse „möglicherweise nicht erneut anwenden“. Die Börse sollte jedoch Kontrollen behalten, um Änderungen beim Risiko der Adresse oder bei ihrer Inhaberschaft zu bemerken, und die Adresse von der Whitelist nehmen, wenn Anzeichen bestehen, dass Sie sie nicht mehr kontrollieren. Die Prüfung einmal in Ruhe zu erledigen ist meist besser, als sie bei jeder großen Auszahlung durchzumachen.

Wenn die Wallet jemand anderem gehört

Manchmal wird die Adresse von einem Dritten kontrolliert, etwa die Wallet eines Angehörigen oder einer Firma. Absatz 89 sagt, die Börse kann die Prüfung dennoch als erfolgt ansehen, wenn sie zusätzliche Daten aus zuverlässigen und unabhängigen Quellen einholt, etwa Blockchain-Analysen, Daten Dritter und öffentliche Informationen, oder andere geeignete Mittel nutzt, sodass sie die Identität von Sender oder Empfänger kennt und ihrer Aufsichtsbehörde gegenüber belegen kann. Rechnen Sie mit mehr Fragen und damit, dass manche Börsen solche Transfers nach eigener Richtlinie ablehnen können. Nichts, was wir gelesen haben, verpflichtet eine Börse, sie anzunehmen.

Was nicht erfasst ist

Artikel 2 Absatz 4 nennt zwei Ausnahmen für Kryptowerte-Transfers: wenn „Originator und Begünstigter beide Anbieter von Krypto-Dienstleistungen sind, die auf eigene Rechnung handeln“, und wenn der Transfer „ein Transfer von Kryptowerten von Person zu Person ist, der ohne Beteiligung eines Anbieters von Krypto-Dienstleistungen erfolgt“. Der zweite Fall ist der, in dem Sie Coins von einer selbst gehosteten Wallet zu einer anderen senden, ohne dass an einem Ende eine Börse beteiligt ist. Die Travel Rule in ihrer geltenden Fassung erreicht ihn nicht.

Wir wollen vorsichtig sein mit den Folgerungen. Es heißt nicht, dass Transfers zwischen Self-Custody-Wallets frei von anderen Regeln wären, oder dass Börsen nicht nach der Herkunft Ihrer Mittel fragen dürften, im Rahmen ihrer eigenen Geldwäschepflichten. Es heißt nur, dass die Datenanforderungen dieser konkreten Verordnung für einen reinen Wallet-zu-Wallet-Transfer nicht gelten.

Warum eine Auszahlung oder Einzahlung gestoppt, zurückgesendet oder abgelehnt wird

Vier Bestimmungen erklären das meiste, was Leser als „mein Transfer hängt“ beschreiben.

1. Die sendende Börse darf noch nicht senden. Artikel 14 Absatz 8: Sie „lässt keine Veranlassung oder Ausführung eines Transfers zu“, bevor sie die Vorgaben vollständig erfüllt. Ist Ihre Erklärung unvollständig oder die Besitzprüfung offen, wartet die Auszahlung.

2. Die empfangende Börse stellt fehlende Angaben fest. Artikel 17 Absatz 1 verlangt „wirksame risikobasierte Verfahren“, um zu entscheiden, ob ein Transfer ohne die erforderlichen Angaben ausgeführt, abgelehnt, zurückgesendet oder ausgesetzt wird, und bei fehlenden oder unvollständigen Angaben „risikobasiert und unverzüglich“ zu handeln. Eine Einzahlung von einer nicht angegebenen Adresse kann daher zurückgesendet oder zurückgehalten werden.

3. Fehlende Angaben erhöhen den Verdacht. Artikel 18 verpflichtet die empfangende Börse, fehlende oder unvollständige Angaben als Faktor bei der Beurteilung zu berücksichtigen, ob ein Transfer oder eine damit verbundene Transaktion verdächtig ist und der nationalen Zentralstelle für Finanztransaktionsuntersuchungen gemeldet werden muss. Wiederholte Versäumnisse einer anderen Börse, die Angaben zu liefern, können dazu führen, dass die empfangende Börse die Beziehung zu ihr einschränkt oder beendet und das Versäumnis ihrer Aufsichtsbehörde meldet (Artikel 17 Absatz 2).

4. Die Risikobewertung markiert die Adresse. Die EBA-Leitlinien (Absatz 88) sagen, Börsen sollten mindestens eine risikomindernde Maßnahme anwenden, wenn sie zum Beispiel erfahren, dass die Angaben zur Person hinter einer selbst gehosteten Adresse unzutreffend sind, oder ungewöhnliche oder verdächtige Transaktionsmuster feststellen. Die Leitlinien sagen, Börsen stützen sich auf „technische Mittel, darunter, aber nicht nur, Blockchain-Analysen“, um zu erkennen, was am anderen Ende eines Transfers steht (Absatz 77). Nach unserer Lesart kann eine Adresse, die Analysewerkzeuge als riskant markieren, daher zusätzliche Fragen auslösen.

Keine dieser Bestimmungen sagt, ein Transfer müsse immer abgelehnt werden, wenn die Wallet selbst gehostet ist. Sie sagen, die Börse muss den Transfer identifizieren können, die Angaben aufbewahren und über der Grenze den Besitz klären.

Ein praktischer Ablauf

1. Lesen Sie zuerst die Seite Ihrer Börse zu Auszahlungen und Wallet-Verifizierung. Sie sagt, welche der EBA-Methoden sie nutzt. Das können wir der Verordnung nicht entnehmen.
2. Verifizieren und whitelisten Sie, bevor Sie einen großen Betrag bewegen müssen. Eine Erstverifizierung während einer Marktbewegung ist der schlechteste Zeitpunkt, um festzustellen, dass Ihre Wallet die von der Börse gewünschte Methode nicht unterstützt.
3. Nutzen Sie eine Adresse, die Sie kontrollieren und mit der Sie signieren können. Viele Wallet-Apps und Hardware-Wallets können eine beliebige Nachricht mit dem Schlüssel einer einzelnen Adresse signieren. Kann Ihre das nicht, fragen Sie die Börse, welche andere Methode sie akzeptiert. Die Leitlinien nennen mehrere.
4. Signieren Sie nur, was die Oberfläche der Börse selbst anzeigt. Eine „Nachrichten“-Signatur beweist, dass Sie den Schlüssel kontrollieren, und gibt ihn nicht preis. Eine Transaktion zu signieren ist etwas anderes, das Gelder bewegt. Prüfen Sie, was Ihre Wallet anzeigt, bevor Sie etwas bestätigen. Verlangt eine Seite oder eine Person außerhalb der offiziellen App, Sie sollten Ihre Wallet „verifizieren“, indem Sie die Seed-Phrase eingeben, ist das Betrug: Keine Verifizierungsmethode der Leitlinien verlangt das.
5. Senden Sie bei der Testüberweisung genau den verlangten Betrag von der angegebenen Adresse und bewahren Sie die Transaktions-ID auf. Der Sinn der Methode ist, dass der Transfer von der fraglichen Adresse kommt.
6. Geben Sie den Inhaber ehrlich an. Gehört die Adresse jemand anderem, sagen Sie es. Eine falsche Angabe kann Sie das Konto kosten, und die Leitlinien erwarten, dass die Börse, wo sie kann, gegenprüft.
7. Bei Einzahlungen von Ihrer eigenen Wallet an die Börse geben Sie die Herkunftsadresse vorab an, wenn die Börse das zulässt, und rechnen Sie ab 1.000 Euro mit denselben Fragen.
8. Bewahren Sie Belege auf. Wird ein Transfer zurückgesendet oder ausgesetzt, verlangt der Support die Erklärung, die Verifizierung und den Transaktions-Hash. Unsere Leitfäden zu Hardware-Wallets und zu Multisig-Aufbauten zeigen, wie Sie Wallets führen, deren Kontrolle Sie belegen können.

Ein praktischer Hinweis, der unsere Beobachtung ist und nicht von der Verordnung stammt: Wallets mit mehreren Schlüsseln, etwa Multisig, passen möglicherweise nicht in jeden Nachrichten-Signierablauf einer Börse. Dann ist die Testüberweisung oder eine andere von der Börse akzeptierte Methode der Weg, und es lohnt sich, vorab zu fragen, bevor Sie eine neue Wallet für Börsenauszahlungen einrichten.

Datenschutz: was die Börse weiß und was Sie tun können

Die Travel Rule verändert, was die Börse über Sie und Ihre Wallets speichert. Sie erhebt Ihre Identitätsdaten, Ihre Adresse und die der Gegenpartei und bewahrt sie auf, wodurch Ihre Identität mit diesen Adressen verknüpft wird. Artikel 14 Absatz 4 verlangt, die Daten im Einklang mit der DSGVO zu verarbeiten, die Ihnen Auskunfts- und Informationsrechte zur Verarbeitung gibt. Die Datenschutzerklärung Ihrer Börse sollte angeben, wie lange die Daten aufbewahrt werden. Der Geldwäscherahmen legt davon getrennt Aufbewahrungsfristen fest, die die Börse einhalten muss.

Wohin die Daten gehen, ist die Grenze dessen, was wir aus den Quellen sagen können. Die Verordnung verlangt die sichere Übermittlung zwischen Börsen. Sie beschreibt keine zentrale Datenbank. Wie Börsen diese Daten technisch austauschen, über Messaging-Protokolle und Dienstleister, ist eine Frage ihrer Systeme und nicht der Verordnung. Wenn Sie verstehen wollen, wohin Ihre Informationen gehen, sind Datenschutzerklärung und ein DSGVO-Auskunftsersuchen die richtigen Mittel.

Wie die EU im Vergleich zu Großbritannien und den USA dasteht

Die Travel Rule ist ein globaler Standard, aber die Regeln unterscheiden sich. Unsere Prüfung beschränkte sich auf Primärquellen, die wir lesen konnten, daher ist dieser Abschnitt bewusst kurz.

Wenn Sie im Vereinigten Königreich oder in den USA leben, verstehen Sie die Tabelle als Hinweis, wo Sie lesen sollten, nicht als vollständige Antwort. Für das größere EU-Regulierungsbild, einschließlich der Frage, wer Krypto-Dienste anbieten darf, siehe unseren MiCA-Compliance-Leitfaden. Dieselben Daten, die Börsen jetzt nach der Travel Rule erheben, sind auch für die steuerliche Meldung relevant, die wir in unserem DAC8-Leitfaden behandeln.

Was wir nicht prüfen konnten

• Wie einzelne Börsen die Prüfungen umsetzen. Verordnung und Leitlinien setzen den Mindeststandard und lassen Wahlmöglichkeiten.
• Den Text etwaiger zusätzlicher Hinweise nationaler Aufsichtsbehörden.
• Die genaue aktuelle britische Behandlung von Transfers zu Unhosted Wallets und den aktuellen Stand der US-Vorschläge zu Unhosted Wallets.
• Ob verbundene oder wiederholte Transfers unter 1.000 Euro von einer bestimmten Börse als ein Transfer behandelt werden. Der Verordnungstext für Geldtransfers erwähnt verbundene Transaktionen, und Börsen haben eigene Kontrollen gegen Stückelung, aber in den Kryptoartikeln fanden wir keine Regel, die das klärt.
• Die EUR-Lex-Seite der Verordnung war mit unseren Werkzeugen nicht ladbar. Wir lasen den amtlichen Text, wie ihn das Amt für Veröffentlichungen der EU bereitstellt, und die EBA-Leitlinien, wie sie die finnische Aufsicht veröffentlicht hat.

Häufig gestellte Fragen