Ein VASP ist ein Unternehmen, das für andere Dienstleistungen für virtuelle Vermögenswerte erbringt, etwa Tausch, Übertragung, Verwahrung oder Verwaltung sowie Finanzdienstleistungen im Zusammenhang mit dem Angebot oder Verkauf eines Emittenten. Börsen, Zahlungsdienste und Verwahrer sind typische Beispiele. Lizenzierungs- und AML-Pflichten hängen von den Tätigkeiten und dem geltenden Recht ab. Dazu gehören Kundensorgfaltspflichten, Monitoring, Aufzeichnungen, Meldungen und die Travel Rule, soweit umgesetzt. Dieses Wissensportal ordnet jede Ebene ein und verlinkt den jeweiligen vertiefenden Leitfaden.
Die Seite folgt der Reihenfolge, in der die meisten Teams auf das Thema stoßen. Zunächst geht es um die Bedeutung des Begriffs und darum, warum die Aufsicht ihn heute besonders im Blick hat. Danach folgen die Lizenz als rechtliche Grundlage des Betriebs, die während des Antrags vorbereiteten und im Betrieb fortgeführten Kontrollen, die Travel Rule in einem Absatz und das Monitoring, das einen Großteil der Arbeitswoche ausmacht. Eine Navigationstabelle am Ende nennt alle Leitfäden der Reihe und benachbarte Themenreihen dieser Website für verwandte Aufgaben.
Was ein VASP ist
Typische Tätigkeiten innerhalb von VASP-Rahmenwerken
VASP steht für Virtual Asset Service Provider, also Dienstleister für virtuelle Vermögenswerte. Der Begriff stammt von der Financial Action Task Force, deren Standards nationale AML-Rahmenwerke prägen. Typische Tätigkeiten sind der Tausch zwischen virtuellen Vermögenswerten und Fiatgeld, der Tausch zwischen virtuellen Vermögenswerten, Übertragungen, Verwahrung oder Verwaltung sowie Finanzdienstleistungen im Zusammenhang mit dem Angebot oder Verkauf eines Emittenten. Die veröffentlichte Definition der irischen Zentralbank nennt diese fünf Kategorien. Ob ein konkretes Unternehmen erfasst ist, bestimmt das geltende Recht.
Entscheidend ist, was Sie tun, nicht wie Sie sich nennen. Eine Plattform, auf der Kunden Bitcoin in Euro tauschen, betreibt Tausch. Ein Zahlungsdienst, der Stablecoins zwischen Käufer und Verkäufer bewegt, führt Übertragungen aus. Ein Verwahrer, der Schlüssel für Kunden hält, betreibt Verwahrung. Wer dies gewerblich tut, ist regulatorisch ein VASP. Deshalb fanden sich so viele unterschiedliche Unternehmen unter demselben Regelwerk wieder.
Ebenso wichtig ist, was der Begriff nicht umfasst: jemanden, der mit eigenen Mitteln handelt, oder einen reinen Softwareanbieter ohne Zugriff auf Kundenvermögenswerte. Bei manchen dezentralen Konstruktionen kann die Abgrenzung schwierig sein. Gerade für solche Grenzfälle lohnt der Blick in die Definitionsquelle.
VASP und CASP: Sich überschneidende, aber unterschiedliche Rahmenwerke
In der Europäischen Union verwendet MiCA, die Verordnung über Märkte für Kryptowerte, den Begriff Crypto Asset Service Provider, kurz CASP, für weitgehend dieselben Unternehmen. VASP ist der internationale Standardbegriff; CASP der EU-Rechtsbegriff für das eigene Zulassungssystem. Eine Börse in Frankfurt ist im globalen Aufsichtsdiskurs ein VASP und in ihren Zulassungsunterlagen ein CASP.
Dieses Wissensportal verwendet VASP für die internationale AML-Diskussion. Die Anwendungsbereiche von VASP und CASP überschneiden sich, doch MiCA definiert eigene Dienstleistungen, Zulassungsregeln und Pflichten. Bei einer rechtlichen Bewertung sind die Begriffe nicht austauschbar. Der folgende Definitionsleitfaden erläutert den Vergleich.
Warum VASPs heute stark reguliert sind
Ein lizenziertes Kryptounternehmen ist für Aufsichtsbehörden keine Neuheit mehr, deren Behandlung erst geklärt werden muss. Zwei Entwicklungen haben die Mindestanforderungen verschoben. In der Europäischen Union hat MiCA verstreute nationale Registrierungen in ein Zulassungssystem mit wirksamen Aufsichtsbefugnissen überführt. Weltweit erwarten die FATF-Standards, einschließlich der Travel Rule und ihrer Umsetzungsüberprüfung von 2025, dass jede Rechtsordnung VASPs ähnlich wie Banken beaufsichtigt. Die FATF bewertet Länder, die dies nicht tun.
Praktisch bedeutet das: Compliance ist kein Differenzierungsmerkmal mehr, sondern Voraussetzung für den Marktzugang. Ein Unternehmen ohne nachweisbare Lizenz, schriftliches AML-Programm und Monitoring-Aufzeichnungen ist nicht bloß eine kleinere Variante eines regelkonformen Unternehmens. In den meisten Rechtsordnungen ist es ein illegaler Betreiber. Die Durchsetzungsmaßnahmen der vergangenen Jahre haben es entsprechend behandelt.
Die Compliance-Mindestanforderungen haben sich verschoben
Die Richtung dieser Verschiebung ist wichtig, weil sie jede Seite dieser Reihe prägt. Aufsichtsbehörden fragen nicht mehr nur, ob Sie Kunden prüfen, sondern wie Sie eine Einzahlungsadresse screenen. Sie fragen, wie Sie einem Aufsichtsprüfer einen Risikowert erklären und wie Sie um zwei Uhr morgens mit einem Alarm umgehen. Die von der FATF gepflegten Leitlinien zu virtuellen Vermögenswerten formulieren diese Erwartungen besonders klar.
Woher der Begriff stammt
Die FATF überarbeitete ihre Standards im Oktober 2018 und Juni 2019 und veröffentlichte im Juni 2019 Leitlinien zu virtuellen Vermögenswerten. Dies dokumentiert die offizielle Zeitleiste des Financial Stability Board. Nationale Behandlung und Umsetzung unterschieden sich; manche Rechtsordnungen wandten AML-Pflichten bereits vor diesen Aktualisierungen an. Die Änderungen präzisierten das internationale Rahmenwerk, statt sämtliche Regulierung neu zu schaffen.
Die Lizenzierungsebene
Die Lizenzierung ist das Tor zu allem Weiteren. Wo eine Zulassung erforderlich ist, kann der Betrieb ohne sie Durchsetzungsmaßnahmen und rechtliche Sanktionen auslösen. Anforderungen und Folgen bestimmt das geltende Recht. Die Wege unterscheiden sich: Die EU hat eine einheitliche CASP-Zulassung mit grenzüberschreitender Nutzung in den Mitgliedstaaten; andere Rechtsordnungen betreiben nationale Systeme mit eigenen Anforderungen an Kapital, Personal und lokale Präsenz.
Die Wahl des Antragsorts ist zunächst eine geschäftliche, dann eine rechtliche Entscheidung. Welche Märkte erschließt die Lizenz, was verlangt der Antrag, wie lange dauert die Prüfung und welche laufenden Kosten entstehen? Der Leitfaden zu VASP-Lizenz und Registrierung erläutert die Entscheidung, die Unterlagen und den von vielen Antragstellern geprüften Weg über Litauen.
Eine Lizenz, viele Regelwerke
Eine häufige Überraschung für Erstantragsteller: Die Lizenz ist der Beginn der Aufsicht, nicht ihr Ende. Die Zulassung bringt laufende Pflichten, Meldefristen und Prüfungen mit sich. Teams, die sie als Ziellinie behandeln, gehen häufig unvorbereitet in die erste Aufsichtsprüfung.
Beginnen Sie mit Ihrer Rechtsordnung
Der erste praktische Schritt ist, die Standorte Ihrer Kunden zu erfassen. Davon hängt ab, welcher Aufsicht Sie unterstehen und welches Regelwerk Ihre Richtlinien erfüllen müssen. Auch der folgende Leitfaden setzt dort an.
Die Pflichtenebene
Die geltenden Kontrollen sollten vor oder während des Lizenzantrags vorbereitet und nach der Genehmigung aufrechterhalten werden. Das FATF-Rahmenwerk umfasst Kundensorgfaltspflichten, laufendes Monitoring, Aufzeichnungen, Verdachtsmeldungen und Informationspflichten bei Übertragungen. Die konkreten Pflichten, Schwellenwerte und Umsetzungszeitpunkte hängen vom lokalen Recht ab.
Die Liste ist kurz. Die Arbeit ist es nicht und verteilt sich ungleichmäßig. KYC ist beim Onboarding aufwendig, danach weniger. Beim Monitoring ist es umgekehrt: wochenlang Ruhe, dann eine Alarmwarteschlange, die den ganzen Tag beansprucht. Die Aufsicht prüft alle fünf Bereiche. Die Fragen, die vorbereitete von überraschten Teams unterscheiden, konzentrieren sich jedoch auf Monitoring und Aufzeichnungen: Was haben Sie gesehen, was haben Sie getan und können Sie es zeigen?
Der VASP-AML-Leitfaden behandelt das gesamte Pflichtenpaket und die tatsächlichen Zeitaufwände. Ob Transaktionsscreening selbst für VASPs gesetzlich vorgeschrieben ist, beantwortet der kurze Beitrag Ist KYT erforderlich? direkt. Für die häufig folgende Frage, welche Tools bei der Erfüllung welcher Pflichten unterstützen, bewertet die Vorauswahl zu VASP-Compliance-Tools Lösungen anhand des Pflichtenpakets selbst.
Fünf Bereiche im Compliance-Rahmenwerk
Diese fünf Bereiche bilden rechtsordnungsübergreifend einen nützlichen Rahmen. Sie werden aber nicht überall gleichzeitig rechtlich verbindlich. Die lokale Umsetzung bestimmt Umfang, Zeitpunkt und erforderliche Maßnahmen. Ein nach Pflichten gegliederter Leitfaden hilft Teams, Kontrollen zuzuordnen, ohne internationale Standards als ein einziges weltweit geltendes Gesetz zu behandeln.
Wo Teams den Druck spüren
Zwei Belastungspunkte tauchen in nahezu jedem Bericht eines Compliance-Teams auf: von Fehlalarmen dominierte Warteschlangen und Prüfungsfragen zur Herleitung von Risikowerten. Beide werden in dieser Reihe gesondert behandelt, im Monitoring-Leitfaden und im Leitfaden zur Reduzierung von Fehlalarmen.
Die Travel Rule in einem Absatz
Die Travel Rule ist FATF-Empfehlung 16: Überträgt ein VASP virtuelle Vermögenswerte an einen anderen VASP, muss er Informationen über Auftraggeber und Begünstigte erfassen und mitgeben. Name, Konto und weitere Angaben müssen verfügbar bleiben. Ziel ist, dass Kryptotransfers nicht zu anonymen Überweisungen werden. Die vollständige Regel, die genau zu übermittelnden Angaben, die Schwellenwerte und die tatsächlichen Schwierigkeiten der grenzüberschreitenden Umsetzung behandelt der Travel-Rule-Leitfaden.
Ein angrenzendes Thema außerhalb dieser Reihe ist das Sanktionslistenscreening, also die OFAC-Seite der Compliance. Es wird auf dieser Website gesondert behandelt.
Was Sie nach Empfehlung 16 mitgeben müssen
Das Informationspaket klingt einfach und ist es auch: Wer hat gesendet, von welchem Konto, wer empfängt und auf welches Konto? Die Schwierigkeit liegt nie in den Feldern. Sie liegt darin, den VASP auf der anderen Seite zu finden, Daten in einem für beide Seiten lesbaren Format auszutauschen und Fälle zu behandeln, in denen die Gegenstelle eine selbstverwahrte Wallet statt eines regulierten Unternehmens ist. Diese Randfälle stehen im Mittelpunkt des Leitfadens.
Monitoring: Wo die Arbeit anfällt
Wenn die Pflichten eine Aufgabenliste sind, ist Monitoring darin die Vollzeitstelle. Screening erfolgt beim Onboarding und bei jeder Ein- und Auszahlung. Monitoring beobachtet das Verhalten dazwischen und danach, weil sich das Risiko einer Adresse durch neue Aktivitäten verändert. Ein Kunde, der beim Onboarding jede Prüfung bestanden hat, kann einen Monat später belastete Gelder erhalten. Das Monitoring-Programm bemerkt dies.
Im Alltag bedeutet Monitoring eine Warteschlange: Risikosignale lösen Alarme aus, Menschen triagieren sie und schließen sie mit Begründung oder eskalieren sie. Wie Sie die Prüfungen in Ein- und Auszahlungsabläufe integrieren, was die Signale bedeuten und wie Sie die Warteschlange beherrschen, erläutert der Leitfaden zum Transaktionsmonitoring. Er behandelt auch Aufzeichnungen, die einer Aufsichtsprüfung standhalten. Dieser Leitfaden ist am stärksten auf die praktische Umsetzung ausgerichtet.
Die benachbarte Wallet-Screening-Themenreihe betrachtet dieselbe Disziplin aus Sicht von Selbstverwahrung und Signaturen. Sie richtet sich an Teams, deren Risiko davon abhängt, was Nutzer signieren, statt davon, was sie weiterleiten.
Monitoring bestimmt die tägliche Arbeitslast
Die Erwartungen sollten realistisch sein: Im Monitoring wird der Personalbedarf der Compliance gebunden. Die Alarmwarteschlange endet nicht, sie erneuert sich. Teams, die dies einplanen, legen frühzeitig Triage-Regeln und Weiterleitungswege fest. Der folgende Fehlalarmleitfaden existiert, weil dieses eine Problem darüber entscheidet, ob die Warteschlange eine Kontrolle oder ein Engpass ist.
Benachbarte Themenreihen dieser Website
Zwei Nachbarn behandeln verwandte Probleme. Die KYT-Themenreihe vertieft Transaktionsscreening-Abläufe und API-Integration. Die AML-Themenreihe umfasst die breitere Wissenssammlung zur Geldwäscheprävention, von der Erklärbarkeit von Risikowerten bis zur Tool-Auswahl für kleine VASPs. Eine Abgrenzung: Angriffe auf die Transaktionsreihenfolge und MEV sind Marktrisikothemen, keine Compliance-Themen, und gehören nicht in dieses Wissensportal.
Phalcon Compliance
Die Compliance-Produktlinie dieser Website ist Phalcon Compliance: Adress- und Transaktionsscreening über die KYA- und KYT-Funktionen. Die Kennzeichnungsdatenbank umfasst mehr als 600 Millionen gekennzeichnete Adressen, wird rund um die Uhr gepflegt und enthält über 200 Risikosignale in 17 Risikoindikator-Kategorien (laut BlockSec). Screening-Antworten über die API treffen in unter 100 Millisekunden ein, wie es eine Einzahlungspipeline bei Spitzenlast benötigt.
Die beiden Screening-Funktionen teilen die Arbeit auf. KYA prüft die Adresse beim Onboarding und bei der Einzahlungsprüfung; KYT prüft die Transaktion. Ergebnisse und Audit-Logs unterstützen eine konsistente Onchain-Dokumentation mit fünf Risikostufen: Kein Risiko, Niedrig, Mittel, Hoch und Kritisch. Die Risiko-Engines unterstützen Regeln für 27+ Rechtsordnungen (laut BlockSec), unabhängig von der Abdeckung der Berichtsvorlagen. STR-Meldungsentwürfe sind derzeit für Hongkong und Singapur verfügbar. Das Institut prüft sie, entscheidet über die Meldepflicht und reicht sie nach den geltenden Regeln ein.
Was die Engine abdeckt
Phalcon Compliance unterstützt die Onchain-Teile eines umfassenderen Compliance-Arbeitsablaufs: Adress- und Transaktionsscreening, Monitoring-Alarme, Audit-Logs, Exporte und STR-Meldungsentwürfe. Diese Funktionen helfen Teams, Screening-Belege zusammenzustellen. Sie erledigen weder die identitätsbezogene KYC-Prüfung noch das AML-Programm des Instituts oder dessen regulatorische Meldepflichten vollständig. Das Institut ergänzt die erforderlichen Identitäts-, Prüfungs- und Genehmigungsnachweise.
Wie die Preisstruktur aufgebaut ist
Der Einstieg ist kostenlos: Mit der Registrierung auf der BlockSec-Website erhalten Sie drei kostenlose Risikoprüfungen pro Monat. Danach können Sie bei Bedarf Credit-Pakete erwerben oder bei regelmäßigem Screening zu einem monatlichen Abonnement wechseln. Die API ist in den Tarifen Scale und Enterprise verfügbar. Diese Voraussetzung sollten Sie vor Beginn einer Integration bestätigen.
Ehrliche Grenzen
Drei Grenzen gehören zu einer ehrlichen Beschreibung. Screening senkt Risiken, beseitigt sie aber nicht. Ein unauffälliges Ergebnis heute ist eine Aussage über heute. Das Tool liefert Bewertungen und Belege; Entscheidungen und die zugehörige schriftliche Richtlinie bleiben Aufgabe des Betreibers. Außerdem prüft diese Engine keine Identitätsdokumente, also kein KYC im engeren Sinne. Sie prüft Adressen und Transaktionen und setzt voraus, dass die Identitätsseite parallel läuft. Die vollständigen Produktdetails finden Sie auf der Phalcon-Compliance-Seite.
Die VASP-Themenreihe erkunden
Jeder folgende Leitfaden nimmt einen Platz in der obigen Übersicht ein.
Für verwandte Aufgaben in anderen Reihen: Die AML-Themenreihe enthält Auswahl- und Risikobewertungsleitfäden, einschließlich Preisorientierung für kleine VASPs. Die KYT-Themenreihe vertieft Monitoring und Erforderlichkeit und bietet API-Anleitungen. Die Wallet-Screening-Themenreihe behandelt Wallet-Risiken aus Sicht des Signierens.
Ihr Einstieg hängt von Ihrer aktuellen Aufgabe ab. Zur Einordnung Ihres Status beginnen Sie mit dem Definitionsleitfaden. Bei einem Antrag beginnen Sie mit der Lizenzierung. Wenn Sie bereits lizenziert sind und die Compliance-Funktion personell aufbauen, beginnen Sie mit VASP-AML und dem Monitoring-Leitfaden.
