Querschnitt: Compliance & Reporting

Ein Kryptodienstleister schreibt an die Buchhaltung eines Messtechnik-Herstellers. Er braucht eine Selbstauskunft mit Firma, Anschrift, Ansässigkeitsstaat und Steuer-Identifikationsnummer, und zwar bis spätestens 1. Januar 2027. Kommt sie nach einer Mahnung nicht, muss er das Unternehmen spätestens 90 Tage nach der ersten Aufforderung von meldepflichtigen Geschäften ausschließen. Wer die Auskunft nicht erteilt, handelt außerdem ordnungswidrig. Der Brief beruht auf einem deutschen Gesetz, das seit Dezember 2025 gilt.

Es gehört zu fünf Regeln, die ein Unternehmen treffen, gleich ob seine Stablecoins nach MiCAR, nach US-Recht oder anderswo ausgegeben wurden. Drei davon verpflichten den Dienstleister: die Travel Rule, die Steuermeldung nach DAC8 und die Geldwäscheprüfung. Die Angaben dafür kommen aber vom Unternehmen. Zwei Regeln treffen das Unternehmen selbst, ohne dass ein Dienstleister dazwischensteht: die Sanktionen und die Bilanzierung. Dieser Artikel beschreibt alle fünf mit dem Stand im September 2026. Wie die Angaben im ERP-System ankommen, beschreibt der Artikel Datenstandard & Kontoauszug.

Was mit jeder Übertragung mitläuft

Seit dem 30. Dezember 2024 gilt die EU-Verordnung 2023/1113 über die Übermittlung von Angaben bei Geldtransfers und Transfers bestimmter Kryptowerte. Sie überträgt auf Kryptowerte, was für Überweisungen schon gilt: Mit jeder Übertragung zwischen zwei Dienstleistern laufen Angaben zu Absender und Empfänger mit, und zwar unabhängig vom Betrag. Zum Absender gehören Name, Adresse auf der Blockchain, Anschrift mit Land sowie die Nummer eines amtlichen Dokuments und die Kundennummer oder ersatzweise Geburtsdatum und Geburtsort. Dazu kommt die Rechtsträgerkennung LEI, falls der Absender sie seinem Dienstleister mitgeteilt hat. Zum Empfänger gehören Name, Adresse und ebenfalls der LEI. Die Angaben müssen die Übertragung nicht selbst begleiten, sie können vorher, gleichzeitig oder parallel übermittelt werden.

Eine eigene Regel gilt für die Wallet, die ein Unternehmen selbst führt. Geht eine Übertragung an eine solche selbst gehostete Adresse oder kommt sie von dort, holt der Dienstleister die Angaben beim Kunden ein und bewahrt sie auf. Übersteigt der Betrag 1.000 Euro, muss er außerdem feststellen, ob die Adresse im Eigentum oder unter der Kontrolle seines Kunden steht. Wie der Kunde das nachweist, legt die Verordnung nicht fest. Übertragungen von Wallet zu Wallet ganz ohne Dienstleister erfasst sie dagegen nicht.

Fehlen Angaben, entscheidet der Dienstleister des Empfängers. Er weist die Übertragung zurück, schickt die Kryptowerte zurück oder fordert die Angaben an, bevor er dem Empfänger die Kryptowerte zur Verfügung stellt. Für ein Unternehmen heißt das: Eine Zahlung kann auf der Blockchain angekommen sein und trotzdem nicht verfügbar sein. Die Leitlinien der Europäischen Bankenaufsicht (EBA) zur Umsetzung sind seit demselben Tag anzuwenden wie die Verordnung.

Das Unternehmen als gemeldeter Nutzer

Die zweite Regel betrifft die Steuer. Seit dem 1. Januar 2026 gilt die EU-Richtlinie 2023/2226, kurz DAC8, in Deutschland umgesetzt durch das Kryptowerte-Steuertransparenz-Gesetz (KStTG) vom 22. Dezember 2025. Anbieter von Kryptowerte-Dienstleistungen melden danach jährlich bis zum 31. Juli an das Bundeszentralamt für Steuern (BZSt), erstmals für das Jahr 2026. Gemeldet werden natürliche Personen und Rechtsträger, also auch Unternehmen. Nach der Europäischen Kommission gilt das ausdrücklich auch für Kunden, die im Land des Anbieters ansässig sind.

Gemeldet werden Name, Anschrift, Ansässigkeitsstaat und Steuer-Identifikationsnummer, dazu je Kryptowert zusammengefasste Werte. Erfasst sind Käufe und Verkäufe gegen Geld oder andere Kryptowerte, Übertragungen und Zahlungen für Waren oder Dienstleistungen über 50.000 US-Dollar. Wickelt ein Anbieter eine solche Zahlung für einen Händler ab, gilt auch dessen Kunde als gemeldeter Nutzer, soweit der Anbieter ihn nach dem Geldwäschegesetz identifizieren muss.

Die Grundlage ist die Selbstauskunft des Kunden. Für ein Unternehmen enthält sie Firma, Anschrift, jeden Ansässigkeitsstaat und die Steuer-Identifikationsnummer. Bei Kunden, die schon vor 2026 eine Geschäftsbeziehung hatten, muss der Anbieter das bis zum 1. Januar 2027 abschließen. Bleibt die Auskunft auch nach einer Mahnung aus, sperrt er einen solchen Kunden frühestens nach 60 und spätestens nach 90 Tagen für meldepflichtige Geschäfte. Wer die Auskunft nicht oder falsch erteilt, riskiert ein Bußgeld von bis zu 50.000 Euro. Vor der ersten Meldung muss der Anbieter seine Kunden darüber informieren.

Nicht jeder Stablecoin fällt unter diese Meldung. Das KStTG nimmt E-Geld aus, und ein E-Geld-Token nach MiCAR gilt als E-Geld, wenn er drei Merkmale erfüllt. Er stellt eine einzige gesetzliche Währung dar, begründet eine Forderung gegen den Emittenten in dieser Währung und ist nach den Regeln für den Emittenten jederzeit zum Nennwert einlösbar. Solche Bestände erfasst stattdessen die bestehende Meldung über Finanzkonten, außer der Saldo liegt im gleitenden 90-Tage-Durchschnitt nie über 10.000 US-Dollar. Welche Token das im Einzelnen sind, nennt das Gesetz nicht.

Die Geldwäscheprüfung heute und ab Juli 2027

Für die Vorbeugung gegen Geldwäsche, kurz Anti-Money Laundering (AML), sind Anbieter von Kryptowerte-Dienstleistungen nach dem Geldwäschegesetz (GwG) Verpflichtete. Von einem Firmenkunden erheben sie Firma, Rechtsform, Registernummer, Anschrift des Sitzes und die Namen der Mitglieder des Vertretungsorgans. Dazu kommen die wirtschaftlich Berechtigten, also im Regelfall jeder, der mehr als 25 Prozent der Anteile oder Stimmrechte hält. Diese Angaben muss der Anbieter beim Kunden erheben, ein Blick in das Transparenzregister genügt dafür ausdrücklich nicht. Der Kunde ist verpflichtet, die nötigen Unterlagen zu liefern und Änderungen unverzüglich anzuzeigen. Das ist das bekannte Verfahren nach dem Prinzip Know Your Customer (KYC), das Unternehmen von ihren Banken kennen.

Ab dem 10. Juli 2027 gilt die EU-Verordnung 2024/1624 zur Bekämpfung der Geldwäsche (AMLR). Sie verbietet anonyme Kryptokonten, auch solche, die Anonymität über besondere Coins herstellen. Und sie verlangt von den Anbietern, das Risiko von Übertragungen an oder von selbst gehosteten Adressen zu bewerten. Die neue EU-Behörde zur Bekämpfung der Geldwäsche (AMLA) mit Sitz in Frankfurt übernimmt ab 2028 die direkte Aufsicht über ausgewählte Verpflichtete. Infrage kommen Finanzunternehmen mit hohem Risiko, die in mindestens sechs Mitgliedstaaten tätig sind, und dazu können auch Kryptodienstleister gehören.

Sanktionen gelten ohne Umweg

Mit den Sanktionen wechselt der Adressat. Sanktionsverordnungen der EU gelten unmittelbar in jedem Mitgliedstaat, für jede Person und jedes Unternehmen in der EU und für jedes Geschäft, das ganz oder teilweise dort stattfindet. Nach der Verordnung 269/2014 sind alle Gelder und wirtschaftlichen Ressourcen gelisteter Personen einzufrieren, und niemand darf ihnen solche Mittel direkt oder indirekt zur Verfügung stellen. Wirtschaftliche Ressourcen sind dort Vermögenswerte jeder Art, materiell oder immateriell. Verstöße ahndet Deutschland nach dem Außenwirtschaftsgesetz als Straftat oder Ordnungswidrigkeit.

Für Kryptowerte ist die Verordnung 833/2014 ausdrücklicher geworden. Sie verbietet jede Transaktion mit dem Token A7A5 seit dem 25. November 2025 und mit RUBx und dem digitalen Rubel seit dem 24. Mai 2026. Verboten ist außerdem jede Transaktion mit einem Kryptodienstleister oder einer Handelsplattform für Kryptowerte, die in Russland ansässig ist. Beide Verbote richten sich nicht an Dienstleister, sondern an jeden.

Die USA gehen einen Schritt weiter in die Technik. Das Office of Foreign Assets Control (OFAC) stellt klar, dass Sanktionspflichten für digitale Währungen dieselben sind wie für herkömmliche. Es nimmt Wallet-Adressen in seine Sanktionsliste auf, weist aber darauf hin, dass diese Einträge kaum vollständig sein werden. Von Nutzern digitaler Währungen erwartet es ein risikobasiertes Programm, das in der Regel den Abgleich mit Sanktionslisten umfasst. Angesprochen sind US-Personen und andere Personen unter der Zuständigkeit von OFAC. Für ein deutsches Unternehmen mit einer Tochter in den USA stellt sich damit die Frage, welche Gesellschaft die Adressen prüft.

Praktisch wird das bei der eigenen Wallet. Zahlt ein Unternehmen aus ihr direkt an die Wallet eines Lieferanten, steht kein Dienstleister dazwischen, der Angaben erhebt oder Adressen abgleicht. Die Prüfung liegt dann allein beim Unternehmen.

Drei Regelgeber ohne gemeinsame Antwort auf Stablecoins

Auch die Bilanz nimmt kein Dienstleister ab. Für Kryptowerte wie Bitcoin hat das IFRS Interpretations Committee im Juni 2019 festgehalten, dass sie weder Zahlungsmittel noch finanzieller Vermögenswert sind. Es bleiben Vorräte nach IAS 2 oder ein immaterieller Vermögenswert nach IAS 38. Was das für einen Bestand bedeutet, beschreibt Bitcoin im Unternehmenskontext. Für Stablecoins ist eine Einschränkung entscheidend. Die Entscheidung erfasst nur Kryptowährungen, die keinen Vertrag zwischen dem Inhaber und einer anderen Partei begründen. Ein Stablecoin mit Anspruch auf Rücktausch gegen den Emittenten begründet einen solchen Vertrag. Für ihn gibt die Entscheidung keine Antwort, und ein eigenes Projekt dazu führt der International Accounting Standards Board (IASB) nicht.

In den USA ist der Financial Accounting Standards Board (FASB) weiter. Für Geschäftsjahre, die nach dem 15. Dezember 2024 beginnen, verlangt er, bestimmte Kryptowerte zum beizulegenden Zeitwert zu bewerten (ASU 2023-08). Ausgenommen sind Werte, die dem Inhaber einen durchsetzbaren Anspruch auf zugrunde liegende Vermögenswerte geben. Nach dem Wortlaut dieses Kriteriums fällt ein Stablecoin mit Rücktauschanspruch nicht darunter. Am 18. August 2026 hat der FASB einen Entwurf veröffentlicht, der klären soll, wie die Definition der Zahlungsmitteläquivalente auf digitale Werte wie Stablecoins anzuwenden ist. Die Definition selbst ändert der Entwurf nicht. Er soll Unternehmen, die solche Werte als Zahlungsmitteläquivalente ausweisen, eine einheitlichere Anwendung ermöglichen. In seinen vorläufigen Beschlüssen vom April 2026 nannte der FASB dafür einen Gesichtspunkt: die Art des vertraglichen Anspruchs, jederzeit beim Emittenten in Geld zurückzutauschen. Stellungnahmen sind bis zum 19. November 2026 möglich.

Für das HGB gibt es keine eigene Regel zu Stablecoins. Wie ein Bestand einzuordnen ist, klärt ein Unternehmen deshalb vor dem ersten Zahlungseingang mit seinem Abschlussprüfer. Für einen Konzern mit US-Tochter entsteht daraus eine Spannung. Die Tochter kann einen Stablecoin nach dem FASB-Entwurf künftig womöglich als Zahlungsmitteläquivalent zeigen, während IFRS und HGB für die Mutter keine vergleichbare Aussage treffen. Kreditverträge, die ihre Kennzahlen auf Zahlungsmittel und Zahlungsmitteläquivalente beziehen, lesen dann in zwei Abschlüssen verschiedene Zahlen.

Ein Zahlungseingang, fünf Regeln

Der Messtechnik-Hersteller aus dem Einstieg erhält von einem Kunden in Spanien 80.000 Euro in einem Euro-Stablecoin, über ein Konto bei seinem Kryptodienstleister. Einen Teil überträgt er auf eine eigene Wallet, aus der er einen Lieferanten bezahlt. Stand September 2026 berühren diesen einen Vorgang alle fünf Regeln:

Die ersten drei Zeilen verpflichten den Dienstleister, blockieren aber im Zweifel das Unternehmen. Fehlen Angaben zum Absender, kann der Dienstleister die 80.000 Euro zurückweisen oder zurückhalten. Fehlt die Selbstauskunft, sperrt er meldepflichtige Geschäfte. Die Steuermeldung selbst hängt am Token. Ob der Euro-Stablecoin unter DAC8 fällt oder als E-Geld unter die Meldung über Finanzkonten, entscheiden die drei Merkmale aus dem KStTG.

Die Übertragung an den Lieferanten verschiebt die Verantwortung. Sie geht über 1.000 Euro an die eigene Wallet, also muss der Dienstleister feststellen, ob diese dem Unternehmen gehört. Von dort an den Lieferanten läuft die Zahlung ohne Dienstleister, und niemand außer dem Unternehmen prüft, ob die Empfängeradresse auf einer Sanktionsliste steht. Das Risiko liegt damit weniger in einem einzelnen Verstoß als in der Lücke zwischen Zuständigkeiten. Wie Wallet- und Gegenpartei-Stammdaten dabei geschützt werden, beschreibt Stammdaten, Privacy & Security.

Zuständig im eigenen Haus

Die Angaben, die diese Regeln verlangen, hat jedes Unternehmen ohnehin. Sie liegen aber meist an verschiedenen Stellen: die Steuer-Identifikationsnummer in der Steuerabteilung, die wirtschaftlich Berechtigten in der Rechtsabteilung, der LEI im Treasury und die Schlüssel zur eigenen Wallet in der IT. Der Dienstleister fragt sie mit Fristen ab, deren Folgen bis zur Sperre reichen. Offen bleibt damit eine Frage, die kein Dienstleister und kein Gesetz beantwortet: Wer im Unternehmen liefert diese Angaben vollständig, bevor der Dienstleister eine Zahlung anhält?