FATF Travel Rule: Was Exchanges über dich speichern müssen

Die Travel Rule verpflichtet Börsen und Broker, bei jeder Krypto-Überweisung Angaben zu Absender und Empfänger zu erfassen, mitzuschicken und aufzubewahren. In der EU gilt sie seit dem 30.12.2024 über die Geldtransferverordnung (EU) 2023/1113, ohne Mindestbetrag. Gespeichert werden dein Name, deine Wallet-Adresse oder Kontonummer, deine Anschrift oder dein Geburtsdatum und dieselben Grunddaten des Empfängers. Sendest du über 1’000 € an deine eigene Wallet, muss die Börse prüfen, dass sie dir gehört. Aufbewahrt wird das in der EU in der Regel fünf Jahre, in der Schweiz zehn, bei Kundendaten gerechnet ab Ende der Kundenbeziehung.

Wie MiCA die Börsen selbst reguliert und wie du den Wallet-Nachweis praktisch erbringst, steht in MiCA und Bitcoin. Was Börsen ans Finanzamt melden, ist eine eigene Pflicht und in DAC8 und CARF erklärt. Hier geht es darum, was die Travel Rule speichert, wer es sieht und wie lange.

Woher die Travel Rule kommt: FATF-Empfehlung 16

Die Financial Action Task Force (FATF) ist das zwischenstaatliche Gremium, das die Standards gegen Geldwäsche und Terrorfinanzierung setzt. Deutschland, Österreich und die Schweiz sind Mitglieder. Ihre Empfehlung 16 gilt seit den 1990er-Jahren für Banküberweisungen: Wer Geld überweist, schickt Name und Konto des Absenders mit, damit die Empfängerbank weiß, woher das Geld kommt. Der Name „Travel Rule“ kommt daher, dass die Angaben mit dem Geld reisen.

Im Juni 2019 hat die FATF ihre Standards auf „Virtual Asset Service Provider“ ausgedehnt, also Börsen, Broker und Verwahrer. Sie empfiehlt eine Schwelle von 1’000 US-Dollar oder Euro, unter der weniger geprüft werden muss. Jedes Land entscheidet, ob es diese Schwelle übernimmt. Die EU hat für Überweisungen zwischen zwei Anbietern darauf verzichtet.

Die FATF prüft regelmäßig, wie weit ihre Mitglieder das umsetzen. Ihre Berichte zeigen seit Jahren dasselbe Bild: Viele Länder haben Gesetze, aber die Anbieter können oft nicht miteinander sprechen, weil das Gegenüber in einem Land ohne Travel Rule sitzt. Dieses Problem heißt „Sunrise Issue“: Die Regel geht in den Ländern zu unterschiedlichen Zeiten auf.

Die EU-Regel: Verordnung (EU) 2023/1113

In der EU steht die Travel Rule für Krypto in der Geldtransferverordnung (EU) 2023/1113, die seit dem 30.12.2024 gilt. Sie ist eine Verordnung, also in Deutschland und Österreich direkt anwendbar. In Deutschland hat sie die frühere Kryptowertetransferverordnung abgelöst; die Aufsicht liegt bei der BaFin, in Österreich bei der FMA.

Die Verordnung unterscheidet drei Fälle:

Für eingehende Überweisungen gilt dasselbe spiegelbildlich: Die Empfängerbörse muss fehlende Angaben erkennen und darf die Gutschrift zurückhalten, bis sie geklärt sind. Deshalb hängt eine Einzahlung manchmal einen Tag, wenn die Börse den Absender nachfragt.

Welche Daten die Börse über dich speichert

Was genau mitreist, legt Art. 14 der Verordnung fest. Für den Absender:

• Name
• Adresse der Wallet, von der gesendet wird, oder die Kontonummer bei der Börse
• Anschrift einschließlich Land, Ausweisnummer, Kundennummer oder Geburtsdatum und -ort
• bei Firmen der LEI oder eine gleichwertige Kennung, soweit vorhanden

Für den Empfänger:

• Name
• Wallet-Adresse oder Kontonummer
• bei Firmen der LEI, soweit vorhanden

Dazu kommen Betrag, Zeitpunkt, Transaktions-ID und das Ergebnis jeder Prüfung. Prüft die Börse deine eigene Wallet, speichert sie auch den Nachweis: die signierte Nachricht, die Testüberweisung oder den Screenshot.

Den letzten Punkt solltest du ernst nehmen. Die Travel Rule verknüpft deine Wallet-Adresse fest mit deinem Namen, in einer Datenbank, die Behörden auf Anfrage einsehen können. Wie Chain-Analyse von einer bekannten Adresse aus weitere Adressen findet und was du dagegen tun kannst, beschreibt Bitcoin-Privatsphäre.

Die Schwelle von 1’000 € in Bitcoin

Die Schwelle steht in Euro. Der Bitcoin-Betrag, ab dem die Prüfung greift, sinkt also, wenn der Kurs steigt. Bei einem Sparplan, der sich über Monate anhäuft und dann in einem Rutsch auf die Hardware-Wallet geht, liegst du schnell darüber.

Beträge zwischen Euro und Sats rechnest du im Sats-Rechner um.

Schweiz: FINMA-Aufsichtsmitteilung 02/2019

Die Schweiz ist nicht in der EU, hat die Travel Rule aber früher und strenger umgesetzt. Die FINMA-Aufsichtsmitteilung 02/2019 „Zahlungsverkehr auf der Blockchain“ vom August 2019 stellt klar, dass die Regeln für Banküberweisungen aus der Geldwäschereiverordnung-FINMA auch für Krypto-Überweisungen gelten, ohne Schwelle.

Die praktische Folge war von Anfang an: Ein Schweizer Institut darf Krypto nur an eigene Kunden oder an andere beaufsichtigte Institute schicken, die die Angaben entgegennehmen. Zahlungen an externe Wallets sind nur erlaubt, wenn das Institut geprüft hat, dass die Wallet seinem Kunden gehört. Wer in der Schweiz bei einer Bank oder einem regulierten Broker Bitcoin kauft und auf die eigene Hardware-Wallet zieht, kennt diesen Nachweis seit 2019, auch für 50 Franken.

Die Pflichten gelten für Finanzintermediäre nach dem Geldwäschereigesetz: direkt von der FINMA beaufsichtigte Institute und solche, die einer Selbstregulierungsorganisation (SRO) angeschlossen sind. Seit dem 01.10.2026 gilt in der Schweiz zudem ein revidiertes Geldwäschereigesetz; es ändert an der Travel Rule für Krypto nichts Grundlegendes.

Wie lange die Daten gespeichert bleiben

Die Geldtransferverordnung selbst verweist für die Aufbewahrung auf das Geldwäscherecht. Für Ausweis- und Kundendaten beginnen die Fristen nicht mit der Überweisung, sondern mit dem Ende der Geschäftsbeziehung. Solange du dein Konto hast, bleiben sie gespeichert.

Daneben gibt es steuerliche Aufbewahrungspflichten der Börse als Unternehmen, etwa § 147 AO in Deutschland. Und was einmal an eine Behörde gemeldet wurde, etwa per Verdachtsmeldung oder DAC8-Meldung, liegt dort nach deren eigenen Regeln.

Wer die Daten sehen darf

Die Travel-Rule-Daten dienen nach der Verordnung nur der Bekämpfung von Geldwäsche und Terrorfinanzierung. Die Börse darf sie nicht für Werbung nutzen. Einsicht haben:

• die Empfänger- oder Absenderbörse: Sie bekommt deine Daten bei jeder Überweisung zwischen Anbietern.
• die Geldwäsche-Meldestelle: in Deutschland die FIU beim Zoll, in Österreich die Geldwäschemeldestelle im Bundeskriminalamt, in der Schweiz MROS. Sie erhält Daten bei einer Verdachtsmeldung.
• Staatsanwaltschaften und Gerichte: auf Anordnung im Strafverfahren.
• die Aufsicht: BaFin, FMA, FINMA bei Prüfungen.
• Steuerbehörden: Für die Steuer gibt es den eigenen Weg über DAC8; im Einzelfall können sie Auskunft verlangen.

Du selbst hast nach der DSGVO (Art. 15) ein Auskunftsrecht, in der Schweiz nach dem Datenschutzgesetz. Löschen lassen kannst du die Daten vor Ablauf der Frist nicht, weil die Aufbewahrung gesetzlich vorgeschrieben ist.

Was du praktisch tun kannst

• Seltener auszahlen, an dieselbe Adresse prüfen lassen. Viele Börsen erlauben eine einmal geprüfte Adresse dauerhaft. Für die Privatsphäre ist es trotzdem besser, für jede Auszahlung eine neue Adresse zu verwenden; prüfen lassen musst du dann aber jede neu.
• Ehrlich angeben. Wenn du an eine fremde Wallet sendest, gib den Empfänger an. Falsche Angaben bei einer Geldwäscheprüfung können zur Kontokündigung führen.
• Belege selbst behalten. Speichere die Bestätigung der Börse über den Wallet-Nachweis. Sie hilft dir später, gegenüber dem Finanzamt zu belegen, dass eine Auszahlung eine Umbuchung war und kein Verkauf.
• Wissen, was P2P bedeutet. Kaufst du ohne Anbieter, etwa über Bisq, gilt die Travel Rule nicht. Was das rechtlich und praktisch heißt, steht in Bitcoin ohne KYC.