FATF setzt umstrittenen Entwurf für globale Regulierung von virtuellen Währungen um – Krypto-Unternehmen sollen Kundendaten austauschen

Die Financial Action Task Force (FATF), sozusagen die Weltregierung für Geldwäscheangelegenheiten, veröffentlicht ihre offiziellen Empfehlungen, wie Regierungen mit Bitcoin und anderen Kryptowährungen umgehen sollen. Besonders eine Bestimmung hat es in sich: Börsen und Wallets sollen Daten über Transaktionen austauschen, darunter auch Sender und Empfänger. Beobachter schätzen dies als eine der größten Gefahren ein, dies es derzeit für Kryptowährungen gibt.

Ein Damoklesschwert hängt immer so lange über einem, bis man sein Bett verschiebt – oder bis es fällt. Das ist vor einigen Tagen nun geschehen: Die FATF hat ihre seit langem erwarteten und gefürchteten Richtlinien zur Regulierung von virtuellen Währungen vorgestellt. So, wie es aussieht, ist es ein ziemlich scharfes Schwert, das nun im Lauf der kommenden 12 Monate auf zahlreiche Kryptounternehmen und -user herabfallen wird.

Aber beginnen wir am Anfang: Die Financial Action Task Force (FATF) ist ein zwischenstaatliches Organ, das den Kampf der Staaten gegen Geldwäsche, Terrorfinanzierung und auch Steuervermeidung koordiniert. Der derzeitige Sekretär der FATF, US-Finanzminister Steven Mnuchin, hat das Thema “virtuelle Währungen und Assets” zu einer Top-Priorität des Gremiums gemacht. Kürzlich hat sich die FATF nun zu einer Generalversammlung in Orlando getroffen; “einer der wertvollsten Beiträge” dieser Sitzung sei “die Regulierung von allen virtuellen Assets, vor allem Kryptowährungen”, kündigt Mnuchin an.

Unter dem Ko-Vorsitz von Spanien und Singapur habe die FATF “den wachsenden Missbrauch von Kryptowährungen und anderen virtuellen Assets durch Geldwäscher, Terror-Finanzierer und anderen illegalen Akteuren adressiert.” Die Vollversammlung der FATF hat sich auf eine lange Liste von Richtlinien geeinigt, die bestimmen, wie Nationalstaaten mit virtuellen Währungen umzugehen haben. Damit “verbessert die FATF die finanzielle Transparenz und setzt Erwartungen. Dies wird Wettbewerbsgleichheit unter den Anbietern von Dienstleistungen für virtuelle Währungen und traditionellen Finanzinstitutionen schaffen.”

Freiwillig-verpflichtend

Natürlich werden die Richtlinien der FATF nicht über Nacht gültig werden. Die zwischenstaatliche Organisation hat offiziell keine Befugnis, irgendjemandem Befehle zu erteilen; alles, was sie macht, ist das Verfassen von Richtlinien oder Ratschlägen. Allerdings werden die Richtlinien der FATF in der Regel global umgesetzt; die Finanzminister der G20 haben sich bereits Mitte des Monats darauf geeinigt, den Vorgaben der FATF zu folgen. Wer dabei ausschert, riskiert, auf der Liste der “unkooperativen Länder und Territorien” zu landen, womit er sich in Gesellschaft einer erlesenen Auswahl von “Schurkenstaaten” wie Nordkorea oder dem Iran befindet. Die damit verbundenen Sanktionen bringen selbst Staaten wie den Iran dazu, an ihren Maßnahmen gegen Geldwäsche zu arbeiten.

Darum sagt Mnuchin auch, dass die Richtlinien “verpflichtend für alle Länder” seien. Er betont, dass die FATF Standards “nur einen Effekt haben, wenn sich Jurisdiktionen auf der ganzen Welt bemühen, sie umzusetzen. Wenn sie dabei scheitern, die explizit definierten Konsequenzen für Nachlässigkeit zu verhängen, würde dies die Glaubwürdigkeit der FATF unterminieren.”

Die einzelnen Länder haben einen gewissen Interpretationsspielraum bei der Umsetzung der Richtlinien, und es wird auch einige Zeit verstreichen, bis dies geschieht. Allerdings verlangt die FATF, dass die Länder die Vorgaben im Lauf der kommenden 12 Monaten implementieren. Im Juni 2020 soll es ein Review geben. Mittel- oder langfristig sollte sich also jeder, der mit Kryptowährungen arbeitet, darauf einstellen, dass er in Kontakt mit Behörden kommt, die versuchen, die FATF-Richtlinien durchzusetzen.

Was also verlangt die FATF von den als “Virtual Assets Service Provider (VASP)”, also “Dienstleister für virtuelle Assets”, eingestuften Unternehmen? Im Grunde dasselbe wie von Banken und anderen Finanzdienstleistern: Sie müssen “identifizieren, wer für wen Guthaben versendet und wer der Empfänger ist”, Prozesse entwickeln, “um diese Informationen mit anderen VASPs und der Strafverfolgung zu teilen”, ihre Kunden identifizieren, “sicherstellen, dass diese keine illegalen Aktivitäten betreiben” und “risikobasierte Programme entwickeln, die die Risiken ihres spezifischen Geschäftsmodells adressieren.”

Insbesondere der erste Punkt, die Identifizierung von Empfängern von Zahlungen sowie das Teilen dieser Information ist etwas, das für Aufregung in der Krypto-Branche sorgt. Der COO (leitender Manager) der Blockchain-Analysefirma Chainalyses hat den Entwurf der FATF bereits im April genau dafür kritisiert. Es sei das Wesen von Kryptowährungen, dass man Zahlungen ausführen könne, ohne den Empfänger zu identifizieren. Dies den Börsen aufzuzwingen, würde dazu führen, dass viele Plattformen schließen müssten, da es keine Infrastruktur gibt, um diese Art von Information zu prozessieren. Wenn man die regulierten, kooperativen Börsen zu sehr gängele, könnte dies dazu führen, dass die Nutzer vermehrt zu dezentralen und P2P-Börsen gingen. “Solche Maßnahmen würden die Transparenz reduzieren, von der die Strafverfolgung derzeit profitiert.”

Wir schauen uns diesen heiklen Punkt in den Richtlinien genauer an.

“Informationen über Sender und Empfänger auf eine sofortige und sichere Weise erhalten, speichern und weiterleiten”

Das Wort “beneficiary” (Empfänger) taucht in dem 57-seitigen Dokument 38 mal vor und scheint damit eine erhebliche Relevanz zu haben. Schon in der einleitenden Zusammenfassung schreibt die FATF, die Richtlinien würden ausführlich erklären, wie die Unternehmen die spezifische Verpflichtung erfüllen sollten “die Informationen über Sender und Empfänger auf eine sofortige und sichere Weise zu erhalten, zu speichern und weiterzuleiten, wenn sie Transaktionen einleiten.” Dies trifft aber wohl nur zu, wenn die Transaktion größer als 1000 Dollar oder Euro ist.

Die Fähigkeit, dies durchzuführen, soll in die Risikoeinschätzung durch die Unternehmen und Aufseher einfließen. “Virtuelle Assets oder Dienstleister die pseudonyme oder Transaktionen mit verbesserter Anonymität prozessieren, tragen ein höheres Risiko der Geldwäsche oder Terrorfinanzierung, insbesondere wenn sie die Fähigkeit des VASPs beeinträchtigen, die Identität des Empfängers festzustellen. Dies ist besonders beunruhigend im Kontext von grenzübergreifenden Virtuellen Assets.” Es wird schwieriger für Börsen und Zahlungsdienstleister werden, mit anonymen Kryptowährungen wie Monero zu arbeiten.

Ins Detail geht der Absatz 114 auf Seite 29: Die VASPs sollen die Informationen zu Sender und Empfänger ermitteln, speichern und weiterleiten, “um verdächtige Transaktionen zu erkennen und zu melden.” Sie sollen die Verfügbarkeit dieser Informationen beachten, gegebenenfalls Guthaben einfrieren und Transaktionen zu bestimmten Personen und Entitäten verhindern. Die Länder sollen sicherstellen, dass die VASPs diesen Anforderungen nachkommen und an die richtige Stelle weiterleiten, sei dies ein Unternehmen der Krypto-Branche, sei dies eine etablierte Finanzinstitution. Die Unternehmen, die Zahlungen für ihre Kunden annehmen – beispielsweise eine Börse – sollen akurate Informationen über den Sender der Transaktion empfangen. Diese enthalten den Namen des Senders, seine Account-Nummer (etwa eine Wallet), seine physikalische Adresse oder nationale Identitätsnummer, den Namen des Empfängers, die Account-Nummer des Empfängers (etwa eine Wallet). Es sei nicht notwendig, “diese Information direkt an die Transaktion der virtuellen Assets anzuhängen. Die Information kann direkt oder indirekt eingereicht werden.”

Es sei wichtig, dass die Länder sicherstellen, dass diese Informationen unverzüglich und sicher weitergeleitet werden, da die Transfers schnell und grenzübergreifend geschehen. Diese Informationen sollen den Behörden auf Anfrage zur Verfügung gestellt werden. Dabei ist sich die FATF bewusst, dass anders als im Bankwesen nicht jede Transaktionen von virtuellen Währungen zwei registrierte Parteien beinhaltet. “Zum Beispiel kann bei einem VA Transfer nur eine registrierte Entität auf je einem Ende des Transfers involviert sein”, etwa wenn jemand Geld an einen individuellen User sendet, der nicht ein Kunde einer anderen Firma ist, sondern seine eigene Wallet empfängt. Dennoch sollten die Länder sicherstellen, schreibt die FATF, dass die Länder den Vorgaben gerecht werden. Allerdings erwartet das Gremium nicht, “dass VASPs und andere Finanzinstitutionen, die VA Transfers einleiten, die benötigten Informationen an inviduelle User weiterleiten, die keine registierte Entität sind.” Unternehmen, die Transfers von virtuellen Währungen empfangen, die nicht von einem anderen Unternehmen kommen, sondern von eigenen Wallets, “sollen die notwendigen Informationjen von ihrem Kunden erhalten.”

Wie die Unternehmen dies technisch bewerkstelligen, fällt nicht in die Kompetenz der FATF.  Sie verlangt nicht, dass die Blockchain selbst Informationen über Sender und Empfänger prozessiert. Es kann jede beliebige Methode verwendet werden, ob eine Blockchain oder eine andere Technologie. Sie scheint aber zumindest darüber nachzudenken, Identitäten auf die Blockchain zu bringen: “Es kann beispielsweise eine Lösung dafür sein, die verlangten Informationen zu erhalten, zu behalten undweiterzuleiten, indem ein Code in das den Virtuellen Assets unterliegende Transaktionsprotokoll eingefügt wird oder auf diesem aufsitzt, etwa als Smart Contract, Multisig oder andere Technologie.” Die FATF fordert Länder auf, gemeinsam mit der privaten Wirtschaft technische Lösungen zu erarbeiten.

Die FATF fordert ferner die Unternehmen, die mit virtuellen Währungen arbeiten, dazu auf, die bestehenden Technologien zu nutzen, um ihre Informations- und Dokumentationspflicht zu erfüllen. Als Beispiele nennt sie Public-Key-Kryptographie, um die Information so zu verschlüsseln, dass nur Sender und Empfänger einer Transaktion sie lesen können, sichere Internetverbindungen (TLS/SSL), X.509 Zeritifikate, Programmier-Schnittstellen und andere Technologien. Anders ausgedrückt: Die FATF meint, dass es technich möglich ist, und überlässt es den Unternehmen, herauszufinden, wie sie es umsetzen können.

“Es gibt keine technische Lösung, die uns erlauben würde, vollständig konform mit den Richtlinien zu sein.”

Es dürfte keinen Zweifel geben, dass die Bedingungen der FATF hart sind. Der Börsendienst Bloomberg hat in der Branche Statements zu den Richtlinien gesammelt. Eric Turner von den Marktforschern von Messari nennt sie “eine der größten Bedrohungen für Krypto zur Zeit. Die Empfehlungen der FATF könnten einen viel größeren Einfluss haben als die SEC oder andere Regulierer bisher hatten.”

Der Chief Compliance Officer der Altcoin-Börse Bittrex in Seattle erklärt, dass es teurer und technisch schwieriger werden wird, konform mit der Regulierung zu bleiben. Schließlich seien die Wallet-Adressen auf Blockchains ja größtenteils anonym. “Man muss entweder die Blockchain-Technologie komplett und fundamental umstrukturieren, oder parallel ein globales System aufbauen, das die etwa 200 Börsen der Welt umspannt. Du kannst dir vorstellen, dass es schwierig ist, so etwas zu bilden.”

Laut einem Anwalt der Börse Kraken diskutierten einige US-Börsen bereits ein solches System. Allerdings sei dies damit vergleichbar, die Regeln des 20. Jahrhunderts für eine Technologie des 21. Jahrhunderts anzuwenden. “Es gibt keine technische Lösung, die uns erlauben würde, vollständig konform mit den Richtlinien zu sein.” Auch Jeff Horowitz von Coinbase ist kritisch: “Ich verstehe, warum die FATF das machen will. Aber wenn wir versuchen, die Regulierung des Bankwesens an unsere Branche anzupassen, könnte dies mehr Leute zu direkten Transaktionen, von Person zu Person, treiben, was darin enden würde, dass es für die Strafverfolgung nicht mehr, sondern weniger Transparenz gäbe. Die FATF sollte wirklich darüber nachdenken, welche ungewollten Konsequenzen ihre Regeln nach sich ziehen könnten.”

In der Tat dürfte es der Branche Kopfzerbrechen bereiten, wie sie die Richtlinien umsetzen kann. Während alles, was bisher von den Regulierern verlangt wurde, von Börsen erfüllt wurde, die die Identität ihrer Kunden prüfen und deren Transaktionen – mehr oder weniger – analysieren, sind die Vorgaben der FATF nicht ohne weiteres zu erfüllen. Sie verlangen ein vollständig neues System, das bisher noch nicht existiert. Es wird vielleicht gebaut, aber man darf annehmen, dass es weder günstig wird, dort mitzumachen, noch technisch trivial, es in die eigene Plattform zu implementieren. Die Hürden, um am Wettbewerb in der Krypto-Branche teilzunehmen, steigen damit an. Krypto droht, ein Stückchen mehr wie das etablierte Bankwesen zu werden – was hier eher als ein Downgrade zu verstehen ist.