KYC bei Krypto-Zahlungen: Was Entwickler und Unternehmen prüfen müssen

KYC für Krypto-Zahlungen bedeutet, Ihren Kunden zu identifizieren und zu verifizieren, bevor oder während Sie Werte für ihn bewegen. Ob Sie dies tun müssen, hängt weniger von der Technologie ab als davon, was Ihr Unternehmen tut: Kundenmittel verwahren, Krypto gegen Fiat tauschen oder nur Software bereitstellen. Dieser Leitfaden erklärt, wo die Verpflichtung beginnt, welche Prüfungen Standard sind, wie sich die Regeln je nach Rechtsordnung unterscheiden und was Sie entscheiden müssen, bevor Sie einen Zahlungsfluss in Ihre App integrieren.

TL;DR

• KYC ist eine Ebene der Compliance bei Krypto-Zahlungen, neben Risikobewertung, Sanktionsscreening, Transaktionsüberwachung, Aufbewahrungspflichten und, wo anwendbar, Travel-Rule-Daten.
• Verwahrende Dienste, Börsen und Fiat-On-Ramps sind die üblichen Stellen, an denen Identitätsprüfungen stattfinden. Neutrale Softwareanbieter können außerhalb des Anwendungsbereichs fallen, abhängig von ihren Aktivitäten und ihrer Rechtsordnung.
• Standardprüfungen umfassen Name, Geburtsdatum, Adresse und einen amtlichen Ausweis, ergänzt durch ein Selfie und zusätzliche Informationen bei höherem Risiko.
• Die richtige Intensität der Prüfungen ist risikobasiert, nicht eine identische Prüfung für jede Zahlung.
• Klären Sie Ihren regulatorischen Status zuerst mit Rechtsberatern, bauen Sie dann Verifizierung und Überwachung direkt in den Zahlungsfluss ein.

Inhaltsverzeichnis

• Was KYC in einem Krypto-Zahlungsfluss bedeutet
• Wer tatsächlich Kunden verifizieren muss
• Die üblicherweise erforderlichen Prüfungen
• Risikobasiert, nicht Einheitsgröße
• Die Travel Rule und Self-Hosted-Wallets
• Regeln ändern sich je nach Rechtsordnung
• Was vor der Integration eines Zahlungsflusses zu prüfen ist
• Unsere Perspektive
• Die technische Seite mit Chaingateway aufbauen
• FAQ
• Quellen

Was KYC in einem Krypto-Zahlungsfluss bedeutet

KYC steht für „Know Your Customer“ (Kenne deinen Kunden). In der Praxis umfasst es die Identifizierung und Verifizierung des Kunden, das Verständnis des Zwecks und der beabsichtigten Art der Beziehung oder Transaktion sowie angemessene Schritte zur Verifizierung der wirtschaftlich Berechtigten. So fasst es die JMLSG-Leitlinie des Vereinigten Königreichs für Kryptoasset-Börsenanbieter und Verwahr-Wallet-Anbieter zusammen.

KYC ist nicht die Gesamtheit der Compliance. Drumherum stehen AML- und Terrorismusfinanzierungs-Risikobewertung, Sanktionen- und sonstiges Screening, Transaktionsüberwachung, Verdachtsmeldungen, Aufbewahrungspflichten und, wo anwendbar, Travel-Rule-Informationen. Wenn Menschen nach „Krypto-Zahlungen Compliance“ suchen, meinen sie meist diesen gesamten Stack, und KYC ist dessen Eingangstür.

Die globale Basis liefert die Financial Action Task Force. Ihre aktualisierte Leitlinie zu virtuellen Vermögenswerten und Anbietern von Diensten für virtuelle Vermögenswerte besagt, dass VASPs AML/CFT-Präventionsmaßnahmen anwenden müssen, einschließlich Sorgfaltspflichten gegenüber Kunden, Aufbewahrungspflichten, Meldung verdächtiger Transaktionen und der Travel Rule. Nationale Gesetze setzen diese Basis dann jeweils auf eigene Weise um.

Wer tatsächlich Kunden verifizieren muss

Die erste Frage lautet nicht: „Welchen KYC-Anbieter sollten wir wählen?“, sondern: „Sind wir die Art von Unternehmen, die jemanden verifizieren muss?“

Verwahrdienste und Börsen

Wenn Sie Kundengelder halten, Krypto gegen andere Vermögenswerte oder Fiat tauschen oder Kryptowerte verwahren und verwalten, fallen Sie wahrscheinlich in den Anwendungsbereich. Die JMLSG-Leitlinien besagen, dass Börsenanbieter und Verwahr-Wallet-Anbieter im Allgemeinen den Sorgfaltspflichten gegenüber Kunden unterliegen. Auch das Verwahren und Übertragen von Kundenschlüsseln kann ein Unternehmen in den Anwendungsbereich bringen.

Neutrale Softwareanbieter

Dasselbe Leitliniendokument weist darauf hin, dass Softwareentwickler und andere Anbieter, die mit dezentralen Systemen verbunden sind, außerhalb des Perimeters liegen können. Das hängt von ihren Aktivitäten und davon ab, ob sie von Transaktionen profitieren. „Können“ ist das entscheidende Wort. Ihre eigenen Designentscheidungen – etwa ob Sie jemals Schlüssel kontrollieren oder einen Anteil an Transaktionsströmen erhalten – können Sie über die Grenze hinwegbewegen.

Fiat-On-Ramps und Off-Ramps

Permissionless Blockchains haben keinen einzigen rechenschaftspflichtigen Intermediär. Die Bank für Internationalen Zahlungsausgleich erklärt in ihrem Bulletin zur Geldwäschebekämpfung bei Kryptowerten, dass die Kundenverifizierung typischerweise dort stattfindet, wo Krypto auf das konventionelle Finanzsystem trifft – also bei Börsen und Off-Ramps. Ergänzend heißt es, dass die Blockchain-Transaktionshistorie KYC- und AML-Kontrollen ergänzen kann.

Deshalb führt ein Händler, der nur Krypto empfängt, oft selbst keine Identitätsprüfungen durch, während die Börse, bei der der Zahler die Coins gekauft hat, dies getan hat. Genau deshalb ändert sich die Antwort in dem Moment, in dem Sie eine Umwandlung in Fiat oder ein verwahrtes Guthaben hinzufügen.

Ablauf	Wer verifiziert den Kunden typischerweise	Was zu bestätigen ist
Verwahrtes Wallet oder Guthaben für Nutzer	Sie als Dienstanbieter	Lizenzierung oder Registrierung, vollständige CDD, Monitoring
Fiat-On-Ramp oder Off-Ramp	Die regulierte Börse oder der Prozessor	Wer die regulierte Partei ist und welche Daten sie von Ihnen verlangt
Self-Custody-Zahlungen, reine Software	Oft niemand auf Ihrer Ebene	Ob Ihre Aktivitäten und Ihr Nutzen aus Transaktionen Sie in den Anwendungsbereich bringen
Überweisungen zu oder von Self-Hosted-Wallets	Der regulierte Anbieter auf der anderen Seite	Lokale Wallet-Inhaberschafts- und Travel-Rule-Regeln

Die üblicherweise erforderlichen Prüfungen

Für natürliche Personen ist der Standardumfang einfach. Anbieter erheben und verifizieren den vollständigen Namen, das Geburtsdatum und die Wohnadresse und prüfen einen gültigen amtlichen Ausweis wie Reisepass oder Führerschein. Veriffs Leitfaden zu Krypto-KYC ergänzt, dass erweiterte Prüfungen ein Selfie und zusätzliche Informationen anfordern können und dass die Anforderungen je nach Börse variieren. Plaids Übersicht zu KYC für Krypto beschreibt denselben Datensatz und weist darauf hin, dass verdächtige Kunden um weitere Angaben gebeten werden können.

Derselbe Veriff-Leitfaden merkt an, dass Börsen Käufe, Auszahlungen oder Einzahlungen häufig so lange einschränken, bis die Verifizierung abgeschlossen ist, und dass risikobasiertes KYC Sanktionen-, PEP- und Negativpresse-Screenings sowie laufendes Monitoring umfassen kann.

Manche Märkte verifizieren anders. Das Hilfezentrum eines Anbieters beschreibt, wie in Indonesien, Südafrika und Nigeria die Verifizierung ohne Dokumente meist eine offizielle Nummer automatisch prüft: die NIK, die nationale Ausweisnummer oder die NIN. Wenn Sie Nutzer in mehreren Ländern bedienen, erwarten Sie, dass sich die Verifizierungsmethode je nach Region ändert, nicht nur die Regeln.

Was die Verifizierung verlangsamt

Die von uns geprüften Quellen liefern keine verlässlichen Zeitangaben, daher werden wir keine erfinden. Die praktischen Ursachen lassen sich aus den Prüfungen selbst ableiten: ein Dokument, das nicht zum eingetippten Namen oder zur Adresse passt, ein Bild, das das System nicht lesen kann, ein Kunde, der einen Screening-Treffer auslöst, oder eine Anfrage nach zusätzlichen Informationen bei einem höher risikoreichen Profil. Gestalten Sie Ihr Onboarding so, dass ein Kunde erneut einreichen kann, ohne von vorne beginnen zu müssen, und dass Ihr Support-Team sehen kann, warum ein Fall aussteht.

Risikobasiert, nicht Einheitsgröße

Der Ansatz der FATF ist risikobasiert. Die Intensität der Sorgfaltspflichten gegenüber Kunden und der Überwachung sollte den Kunden, das Produkt, die Transaktion und die Geografie widerspiegeln. Eine kleine, wiederkehrende Zahlung eines verifizierten Kunden birgt nicht dasselbe Risiko wie eine große Erstüberweisung aus einer unklaren Quelle.

Hier zeigt sich die verstärkte Sorgfaltspflicht. Maltas Financial Intelligence Unit weist in ihren Implementierungsverfahren für den Krypto-Asset-Sektor auf höher risikoreiche Szenarien hin, die diese erfordern, wie Transaktionen mit Hochrisikoländern, ungewöhnliche Muster oder eine Herkunft von Vermögen oder Geldern, die sich nicht mit bekannten Transaktionsvolumen in Einklang bringen lässt.

Typische EDD-Auslöser, die Sie als Regeln kodieren können:

1. Ein Kunde oder Gegenpartei, der mit einer Hochrisikojurisdiktion verbunden ist.
2. Zahlungsbeträge oder -häufigkeiten, die vom etablierten Muster des Kunden abweichen.
3. Gelder, die nicht zur erklärten Vermögensherkunft passen.
4. Fehlende oder unvollständige Angaben zum Auftraggeber oder Begünstigten bei einer eingehenden Überweisung.

Teams in anderen hochrisikoreichen Zahlungskategorien führen bereits diese Art der risikobasierten Kundenüberwachung durch, mit Underwriting, Betrugsprüfung und laufender Überprüfung. Krypto-Teams können dieselbe Disziplin übernehmen: Auslöser definieren, Fall weiterleiten, Entscheidung dokumentieren.

Die Travel Rule und Self-Hosted Wallets

Die Travel Rule verlangt, dass identifizierende Informationen über Absender und Empfänger mit einer Überweisung mitgeführt werden. Die Krypto-Asset-Transfer-Regeln der Europäischen Union, die seit dem 30. Dezember 2024 in Kraft sind, verpflichten Anbieter, Angaben zum Auftraggeber und Begünstigten einzuschließen. Bei Überweisungen über 1.000 €, an denen eine Self-Hosted-Adresse beteiligt ist, muss der Anbieter prüfen, ob die betreffende Person diese Adresse besitzt oder kontrolliert.

Die endgültigen Leitlinien der Europäischen Bankenaufsichtsbehörde verlangen standardmäßig eine Verifizierungsmethode für Self-Hosted Wallets, gemäß Notabenes Analyse der Leitlinien. Dieselbe Analyse besagt, dass Anbieter mit technischen Einschränkungen bis zum 31. Juli 2025 zusätzliche technische Schritte nutzen könnten, wobei die vollständige Einhaltung weiterhin verpflichtend bleibt.

Die Travel Rule wird weltweit nicht einheitlich angewendet. Laut FATF-Zahlen von 2024, die in der Travel-Rule-Leitlinie der Bermuda Monetary Authority zitiert werden, hatten etwa 30 % der Rechtsordnungen keine Travel-Rule-Gesetzgebung implementiert. Dieselbe Leitlinie besagt, dass Zahlungsdienstleister Travel-Rule-Nachrichten aufbewahren sowie Zahler- und Empfängerinformationen je nach Anwendbarkeit erheben, verifizieren, übermitteln oder aufzeichnen sollten. Fehlende oder unvollständige Informationen können verstärkte Maßnahmen und Verdachtsprüfungen begründen.

Regeln variieren je nach Rechtsordnung

Für Sie gilt die Regel der Orte, an denen Sie tätig sind und an denen Ihre Nutzer ansässig sind. Einige Beispiele von offiziellen und regulatorischen Seiten zeigen, wie stark sich die Details unterscheiden:

• Europäische Union: die oben genannten Überweisungsregeln, mit einer Schwelle von 1.000 € für die Verifizierung von Self-Hosted Wallets.
• Bermuda: Verordnung 22(1) erfasst alle Geldtransfers, in jeder Währung, die von einem Zahlungsdienstleister gesendet oder empfangen werden, einschließlich Transfers von Digital Assets. Der Regulator erwartet ein aktuelles Gegenparteienregister und aufbewahrte Travel-Rule-Nachrichten, gemäß der oben genannten BMA-Leitlinie.
• Schweiz und Liechtenstein: Für Self-Hosted Wallets verlangt die Schweiz Identitätsverifizierung und Eigentumsnachweis, während Liechtenstein verstärkte Sorgfaltspflichten fordert, wie der Überblick von Notabene zu Unhosted-Wallet-Regeln berichtet.
• Vereinigtes Königreich: die JMLSG-Leitlinie dazu, wer in den Anwendungsbereich fällt, wie oben besprochen.

Wenn Sie US-Kunden bedienen, ist der US-Rahmen eine eigene Frage. Der allgemeine Punkt aus der Recherche bleibt: KYC ist eine gesetzliche Anforderung, die von Finanzaufsichtsbehörden durchgesetzt wird, und welche auf Sie zutrifft, hängt von Ihrer Tätigkeit und Ihrem Standort ab. Holen Sie sich vor dem Launch eine schriftliche Einschätzung von einem Anwalt, der Geldtransfers und AML in Ihren Zielmärkten betreut.

Was Sie vor der Integration eines Zahlungsflusses prüfen sollten

Nutzen Sie diese Liste in der Planungsphase, nicht nach dem Launch.

1. Aktivität abgrenzen. Halten Sie jemals Schlüssel oder Guthaben für Nutzer? Konvertieren Sie in Fiat? Beteiligen Sie sich an Transaktionen? Jedes „Ja“ schiebt Sie in Richtung reguliertem Status.
2. Regulierte Partei benennen. In jedem Fluss schriftlich festhalten, wer die Kundensorgfaltspflichten durchführt. Wenn es ein Partner ist, dessen Datenanforderungen schriftlich einholen.
3. Rechtsordnungen auflisten. Wo sind Sie gegründet, und wo sitzen Ihre Nutzer und Gegenparteien? Travel-Rule-Status jedes Landes prüfen.
4. Schwellenwerte festlegen. Beträge und Risikoauslöser definieren, die eine Zahlung zu erweiterten Prüfungen eskalieren.
5. Datenschutz planen. Identitätsdokumente sind sensibel. Lesezugriff beschränken, Aufbewahrungsfristen mit Rechtsbeistand festlegen und Verifikationsdaten wo möglich von Zahlungsdaten trennen.
6. Verantwortung zuweisen. Jemand trägt die Verantwortung für das Compliance-Programm, Sanktionsalarme und Verdachtsmeldungen. „Das Engineering-Team“ ist kein Verantwortlicher.
7. Aufzeichnungen führen. Entscheidung, verwendete Daten und Zeitstempel jeder Prüfung speichern, damit Sie Ihre Arbeit nachweisen können.

Regeln in Code gießen

Eine Praktikerperspektive in der Forschung besagt, dass Compliance am besten als deterministische Regeln in Geldflüsse eingebettet funktioniert, anstatt als separater manueller Prozess. Wir stimmen der dahinterstehenden technischen Idee zu. Eine Zahlung, die erst dann den Status „released“ erreichen kann, wenn die erforderlichen Prüfungen bestanden sind, lässt sich leichter auditieren als eine Tabelle voller Ausnahmen.

Unsere Perspektive

Wir bauen die Infrastruktur, nicht die Rechtsmeinung. Chaingateway ist eine einheitliche API zum Erstellen von Wallets, Senden von Token-Transfers, Empfangen von Webhook-Benachrichtigungen und Auslesen decodierter Transaktionsdaten über Ketten wie Ethereum, Bitcoin, Tron, Solana, Polyggon, BNB Chain und Arbitrum hinweg. Compliance ist eine Schicht, die Sie darauf aufsetzen, und der beste Ort dafür ist dort, wo Zahlungen den Status wechseln.

Deshalb betrachten wir Webhooks genauso als Compliance-Instrument wie als Komfortfunktion. Wenn ein eingehendes Zahlungsereignis bereits decodiert eintrifft – mit Absender, Empfänger, Token und Betrag in einer Payload –, können Sie es gegen Ihre Regeln prüfen, bevor Sie etwas gutschreiben. Ihre eigene Regel-Engine entscheidet, ob freigegeben, zurückgehalten oder eskaliert wird. Ihr KYC-Anbieter entscheidet, wer der Kunde ist. Die Blockchain-API sagt Ihnen, was tatsächlich on-chain passiert ist.

Wir möchten auch vor zwei Gewohnheiten warnen. Die eine ist, KYC als einmaliges Formular bei der Registrierung zu behandeln, obwohl risikobasiertes Monitoring kontinuierlich ist. Die andere ist anzunehmen, dass „wir sind nur Software“ Ihren Status klärt. Der Regulator schaut darauf, was Sie tun, nicht darauf, wie Sie sich nennen.

— Bitblade

Die technische Seite mit Chaingateway aufbauen

Sobald Ihr Compliance-Modell feststeht, besteht die Entwicklungsarbeit aus Wallet-Erstellung, Transfers und Ereignisverarbeitung. Unsere Blockchain-API bietet Ihnen eine REST-Schnittstelle über sieben Ketten hinweg, mit automatischer Gas-Schätzung und HMAC-signierten Requests, und Sie müssen keine Nodes betreiben. Webhooks und Ereignisbenachrichtigungen senden Echtzeit-Zahlungsereignisse an Ihr Backend, was der natürliche Anknüpfungspunkt für Screening- und Monitoring-Logik ist. Wenn Sie bei Null anfangen, führt Sie unser Leitfaden zum Erstellen einer Krypto-Wallet mit einer API durch die ersten Schritte.

Die Pläne beginnen bei 49 € pro Monat für Plus, 99 € für Pro, 249 € für Premium und 499 € für Enterprise, bzw. 490 €, 990 €, 2.490 € und 4.990 € pro Jahr. Details und Planlimits finden Sie auf der Preisseite, und Sie können die API testen, bevor Sie abonnieren.

Quellen

• JMLSG Guidance Part II, Sector 22: cryptoasset exchange providers and custodian wallet providers
• FATF: Updated Guidance for a Risk-Based Approach for Virtual Assets and VASPs
• BIS Bulletin: An approach to anti-money laundering compliance for cryptoassets
• Veriff: What is KYC in crypto?
• Plaid: KYC for crypto
• Doto Help Center: KYC compliance
• FIAU Malta: Implementing Procedures Part II, Crypto-Assets Sector
• EUR-Lex: Information accompanying transfers of funds and certain crypto-assets
• Notabene: The EBA’s final Travel Rule guidelines
• Bermuda Monetary Authority: Travel Rule compliance and implications
• Notabene: Travel Rule compliance with unhosted wallets
• DavinciPay: payment processing for high-risk businesses

Empfohlen

• RPC API Beta Release — Level Up Your Crypto Journey
• Blockchain APIs for E-Commerce: A Revolution
• Developer: Ship Recurring Crypto Payments in 90 Days, EIP & 2026
• How to Create a Crypto Wallet with an API: 2026 Guide