Der Bruch 2027: Was ändert sich mit Travel Rule, § 11a FM-GwG, AMLR und AMLA?

Redaktionell geprüft: 22. Oktober 2026 · Rechtslage geprüft bis: 31. August 2026 (Manuskript); FMA-Hinweise zu Travel Rule und Finanzsanktionen am 22. Oktober 2026 nachgeprüft. Zeitgebundene Aussagen sind datiert; angekündigte, aber noch nicht veröffentlichte Rechtsakte sind als solche gekennzeichnet. Negativbefunde („kein Entwurf“, „nicht veröffentlicht“) gelten für diesen Suchstand.

Für wen: Banken (SI) Banken (LSI) Kryptowerte-Dienstleister Versicherungen Travel Rule und CASP-MV betreffen Kryptowerte-Dienstleister und Finanzunternehmen mit Kryptoangebot; die AMLR und die Finanzsanktionen treffen alle Verpflichteten, auch Versicherer.

Der verbreitete Satz, die Prüfung fremder selbst gehosteter Adressen beginne 2027, trifft nicht zu. Art. 40 Abs. 1 der Geldwäscheverordnung ist nahezu wortgleich mit Art. 19a der Vierten Geldwäscherichtlinie, den Österreich seit 30. Dezember 2024 in § 11a FM-GwG anwendet. Was sich 2027 ändert, ist der Rechtsakt, nicht der Pflichteninhalt – aus einer umsetzungsbedürftigen Richtlinienbestimmung wird eine unmittelbar anwendbare Verordnungsbestimmung.

Was gilt heute nach der Geldtransfer-Verordnung?

Die Verordnung (EU) 2023/1113 gilt seit dem 30. Dezember 2024 und schreibt die Übermittlung von Angaben zu beiden Seiten eines Kryptowertetransfers vor – nicht an die Aufsicht, sondern an den Dienstleister der Gegenseite. Anders als beim Geldtransfer gibt es keine Bagatellgrenze: Ein Transfer über fünf Euro löst dieselben Pflichten aus wie einer über fünf Millionen (Erwägungsgrund 30). Ausgenommen sind nur Transfers zwischen zwei in eigenem Namen handelnden Dienstleistern und der Transfer von Person zu Person ohne Beteiligung eines Dienstleisters.

Der Datenkranz ist asymmetrisch. Nach Art. 14 Abs. 1 sind zum Originator Name, Distributed-Ledger-Adresse, gegebenenfalls die Kontonummer des Kryptowertekontos, Anschrift einschließlich Land, Nummer eines amtlichen Dokuments und Kundennummer – alternativ Geburtsdatum und Geburtsort – sowie die Rechtsträgerkennung zu übermitteln, Letztere nur, sofern vorhanden und sofern das Nachrichtenformat ein Feld dafür vorsieht. Zum Begünstigten verlangt Abs. 2 nur Name, Distributed-Ledger-Adresse (keine postalische Anschrift), gegebenenfalls Kontonummer und Rechtsträgerkennung. Die Länderangabe ist damit nicht einmal beim Originator zwingend. Aufbewahrt werden die Angaben fünf Jahre; weitere fünf Jahre bedürfen einer besonderen mitgliedstaatlichen Anordnung.

Selbst gehostete Adressen: Wo liegt die Verifikationslücke?

Art. 14 Abs. 5 verlangt bei Transfers an eine selbst gehostete Adresse über 1.000 Euro „geeignete Maßnahmen, um festzustellen, ob diese Adresse im Eigentum oder unter der Kontrolle des Originators steht“; Art. 16 Abs. 2 spiegelt das für den Begünstigten. Die Prüfpflicht bezieht sich in beiden Richtungen ausschließlich auf den eigenen Kunden. Sie beantwortet die Frage „Gehört diese Adresse meinem Kunden?“ – nicht die Frage „Wem gehört diese Adresse?“. Gehört sie einem Dritten, endet die Pflicht, und die vom Kunden gelieferten Angaben zum Begünstigten bleiben nach der Transferverordnung ungeprüft.

Daneben tritt eine zweite, risikobasierte Pflicht, die diese Beschränkung nicht kennt: § 11a FM-GwG, eingefügt mit dem FM-GwG-Anpassungsgesetz (BGBl. I Nr. 151/2024), in Kraft seit 30. Dezember 2024. Er verpflichtet die Anbieter, das Risiko von Transfers an und von selbst gehosteten Adressen zu ermitteln und zu bewerten und mindestens eine von vier Risikominderungsmaßnahmen zu treffen – darunter risikobasierte Maßnahmen zur Identitätsfeststellung des Originators oder Begünstigten. Der Unterschied ist der eigentliche Befund: Art. 14 Abs. 5 ist eine Regel mit fester Schwelle und dokumentierbarem Ergebnis; § 11a ist ein Standard ohne Schwelle und ohne vorgeschriebene Methode. Sein Ergebnis ist ein interner Risikobefund, kein Datensatz – und in keinem Meldestrom ist ein Feld dafür vorgesehen.

Welche Meldung sieht die TFR vor?

Erst im Störfall entsteht eine Meldung an eine Behörde. Der Dienstleister des Begünstigten muss nach Art. 17 Abs. 2 wiederholte Versäumnisse eines Gegenübers – fehlende Angaben trotz Nachforderung binnen drei Arbeitstagen innerhalb der Union, fünf von außerhalb (Rz. 56 der EBA-Leitlinien) – samt den ergriffenen Maßnahmen der zuständigen Behörde melden; Art. 21 Abs. 2 gilt wortgleich für zwischengeschaltete Anbieter. Zuständig ist in Österreich die FMA. Sie stellt dafür ein Formular im Tabellenkalkulationsformat bereit, das ausgefüllt als PDF per E-Mail mit vorgegebenem Betreff zu übermitteln ist. Der Meldeweg für wiederholte Travel-Rule-Versäumnisse an die österreichische Aufsicht ist damit eine E-Mail mit PDF-Anhang – ohne veröffentlichtes strukturiertes Format und ohne veröffentlichte Fallzahlen; das Verfahren entspricht den aktuellen FMA-Hinweisen (geprüft 22.10.2026). Ein technisch fehlgeschlagener Transfer ist dabei kein Geldwäscheverdacht – die Verdachtsprüfung läuft getrennt. Sanktioniert werden Verstöße gegen Art. 14, 15, 17, 19, 21 und 26 der Verordnung nach § 34 Abs. 2 FM-GwG mit bis zu 5 Millionen Euro oder dem Zweifachen des gezogenen Nutzens.

Was gilt ab 10. Juli 2027 nach der Geldwäscheverordnung?

Vor allem Art. 19 Abs. 3, Art. 37, Art. 40 und Art. 79 AMLR: Sorgfaltspflichten ab 1.000 Euro, Korrespondenzbeziehungen, selbst gehostete Adressen und das Verbot anonymer Konten.

Der Umbau verschiebt die Gewichte, schließt die Lücke aber nicht. Art. 40 eröffnet die Identitätsermittlung auch durch Dritte – in der Praxis Analysedienstleister für Blockchain-Daten – und damit Fremdeinschätzung statt Verifikation. Eine Pflicht, deren Tiefe der Verpflichtete nach eigener Risikoeinschätzung bestimmt, erzeugt kein vergleichbares Datum. Bemerkenswert ist zudem, dass die AMLA bis August 2026 zehn Konsultationen durchgeführt hat, von denen keine den kryptospezifischen Mandaten gewidmet war; kryptospezifisch wurde die künftige europäische Aufsicht bislang nur im Entwurf zu Art. 19 Abs. 9 (drei Transaktionen binnen zwölf Monaten indizieren eine Geschäftsbeziehung – ein wirksamer Mechanismus gegen die Stückelung unter 1.000 Euro).

2028: Was übernimmt die AMLA?

Die Behörde zur Bekämpfung der Geldwäsche mit Sitz in Frankfurt am Main hat ihre Tätigkeit am 1. Juli 2025 aufgenommen. Kryptowerte-Dienstleister sind in Art. 12 Abs. 4 lit. j AMLAR eine eigene Kategorie der Risikoeinstufung. Nach Art. 13 leitet die AMLA das erste Auswahlverfahren bis zum 1. Juli 2027 ein, schließt es binnen sechs Monaten ab und beginnt sechs Monate nach Veröffentlichung der Liste mit der direkten Beaufsichtigung – also im Lauf des Jahres 2028. Die Eignungsdaten hatten die nationalen Aufseher nach dem Durchführungsstandard bis 15. August 2026 zu übermitteln.

Sanktionsrecht: Wofür werden dieselben Daten noch gebraucht?

Seit dem fünften Sanktionspaket 2022 liegt über dem geldwäscherechtlichen Strang eine zweite Ordnung. Das 19. Paket (23. Oktober 2025) erweiterte das Dienstleistungsverbot auf sämtliche Kryptowerte-Dienstleistungen und verbot Transaktionen mit gelisteten Kryptowerten, das 20. Paket (23. April 2026) untersagt ab 24. Mai 2026 jede Transaktion mit in Russland niedergelassenen Anbietern, das 21. Paket (23. Juli 2026) schafft einen Listungsmechanismus für Drittstaaten. Zwei Pflichten sind zu unterscheiden. Anlassbezogen: Nach Art. 8 der Verordnung (EU) Nr. 269/2014 sind Informationen über eingefrorene Gelder und Sanktionstreffer der zuständigen Behörde umgehend zu melden – die FMA stellt ausdrücklich klar, dass Kryptowerte-Dienstleister als juristische Personen dieser Pflicht unterliegen, ebenso Versicherungsunternehmen. Periodisch: Nach dem Sanktionengesetz 2024 sind eingefrorene Gelder seit 1. Jänner 2026 der FMA (statt der OeNB) zusätzlich quartalsweise über die Incoming-Plattform zu übermitteln. Die Quartalsmeldung ersetzt die Sofortmeldung nicht. Für eingefrorene Bestände verlangt der Staat damit eine sofortige Anzeige und viermal im Jahr eine namentliche, auf den einzelnen Kryptowert bezogene Aufstellung; für das Transfergeschehen zweimal im Jahr eine Summe ohne Land, Gegenpartei und Token.

Wie weit ist die Travel Rule international umgesetzt?

Nach dem siebten Fortschrittsbericht der FATF vom 16. Juli 2026 haben 91 von 109 befragten Jurisdiktionen (83 %) eine Travel-Rule-Gesetzgebung erlassen – nach 73 % im Vorjahr und 39 % 2023 –, aber fast die Hälfte davon hat noch keine Aufsichts- oder Durchsetzungsmaßnahme gesetzt. Für Österreich liegt seit 30. April 2026 eine vom IWF geleitete Länderprüfung vor: Die Empfehlungen 15 (neue Technologien) und 16 (Überweisungen) wurden mit „largely compliant“ bewertet; deutliche Kritik trifft die Ressourcen und die operative Unabhängigkeit der Geldwäschemeldestelle. Die Erfassungsfrage stellt sich damit nicht nur auf der Erhebungs-, sondern auch auf der Verarbeitungsseite.

Was ist bis 10. Juli 2027 zu erledigen?

1. § 11a FM-GwG heute: Risikobewertung und gewählte Risikominderungsmaßnahmen für selbst gehostete Adressen dokumentieren – die Pflicht besteht seit 30. Dezember 2024, nicht erst ab 2027.
2. Verifikationsmethoden nach Rz. 83–86 der EBA-Leitlinien festlegen, Whitelisting mit Änderungskontrollen betreiben, Nachforderungsfristen (drei bzw. fünf Arbeitstage) im Prozess hinterlegen.
3. Meldeprozess nach Art. 17 Abs. 2 und 21 Abs. 2 TFR an die FMA einrichten und die Fälle intern zählen – veröffentlichte Zahlen gibt es nicht, die eigene Statistik ist der einzige Maßstab.
4. Übergang auf die AMLR vorbereiten: 1.000-Euro-Schwelle (Art. 19 Abs. 3), Korrespondenzbeziehungen (Art. 37), Verbot anonymer Konten (Art. 79); die AMLA-Leitlinien zu Art. 37 und 40 ab Veröffentlichung einarbeiten.
5. Sanktionsscreening auf die Datenlücke prüfen: Für Staatsangehörigkeit und Wohnsitz der Gegenpartei gibt es weder in der Transferverordnung noch im Sanktionsrecht eine Nachweisregel. Beide Sanktionsmeldungen im Prozess verankern: die umgehende Information der FMA nach Art. 8 VO (EU) Nr. 269/2014 bei jedem Treffer und die quartalsweise Übermittlung eingefrorener Gelder – nicht bis zum Quartalsende warten.
6. Datenbasis mit dem aufsichtsrechtlichen Strang abgleichen: Die Aufteilung in Abschnitt 10 der CASP-MV nach selbst gehosteten Adressen und Kryptowertekonten stammt aus denselben Travel-Rule-Daten.

Häufige Fragen

Beginnt die Prüfung selbst gehosteter Adressen erst 2027?

Nein. Die Verifikationspflicht beim eigenen Kunden über 1.000 Euro gilt seit 30. Dezember 2024 nach Art. 14 Abs. 5 der Geldtransfer-Verordnung; die risikobasierte Pflicht auch gegenüber fremden Adressen gilt seit demselben Tag nach § 11a FM-GwG. Art. 40 AMLR überführt sie ab 10. Juli 2027 in eine unmittelbar anwendbare Verordnung.

Gibt es eine Bagatellgrenze für Kryptowertetransfers?

Nein. Die Geldtransfer-Verordnung verlangt die Begleitangaben unabhängig vom Betrag; nur die Verifikationspflicht bei selbst gehosteten Adressen knüpft an 1.000 Euro an. Ab 2027 setzt Art. 19 Abs. 3 AMLR die Schwelle für volle Sorgfaltspflichten bei gelegentlichen Transaktionen ebenfalls auf 1.000 Euro.

Wie melde ich wiederholt fehlende Travel-Rule-Angaben an die FMA?

Mit dem Formular der FMA für CASP und zwischengeschaltete Anbieter (Art. 17 Abs. 2 und 21 Abs. 2 TFR), ausgefüllt als PDF per E-Mail mit dem vorgegebenen Betreff. Ein strukturiertes Format oder eine Schnittstelle ist nicht veröffentlicht.

Wann beaufsichtigt die AMLA direkt?

Das Auswahlverfahren beginnt bis 1. Juli 2027 und dauert sechs Monate; die direkte Beaufsichtigung startet sechs Monate nach Veröffentlichung der Liste, also im Lauf des Jahres 2028. Kryptowerte-Dienstleister sind eine eigene Kategorie der Risikoeinstufung.