Compliance für grenzüberschreitende Stablecoins nach GENIUS und MiCA

Für wen diese Compliance-Übersicht tatsächlich gedacht ist

Dies ist ein Arbeitsdokument für Compliance-Verantwortliche, Treasury-Leiter und Produktingenieure bei Fintechs, Überweisungsunternehmen und Neobanken, die einen Stablecoin-Überweisungskorridor entweder starten oder skalieren. Das ausgearbeitete Beispiel ist USA nach Mexiko mit USDC, aber dieselbe Logik gilt mit den richtigen Anpassungen für die meisten Korridore nach Lateinamerika, Europa und Südostasien.

Zwei Annahmen, bevor Sie weiterlesen. Erstens verstehen Sie bereits, was ein Stablecoin ist: ein Token auf einer öffentlichen Blockchain, dessen Wert an eine Fiatwährung gekoppelt ist, typischerweise 1 USD pro Token. Zweitens verstehen Sie den Unterschied zwischen Custodial- und Non-Custodial-Wallets: Eine Custodial-Wallet wird von einer lizenzierten Stelle betrieben, die die privaten Schlüssel für Sie hält, während eine Non-Custodial-Wallet dem Nutzer die Kontrolle über die eigenen Schlüssel gibt. Beide schaffen unterschiedliche Compliance-Pflichten, und beide werden unten behandelt.

Wenn Sie ein Custodial-Produkt entwickeln, bei dem Ihr Unternehmen zu irgendeinem Zeitpunkt im Ablauf Kundengelder in Stablecoins hält, sind Sie ein Money Services Business und unterliegen dem hier beschriebenen vollständigen Regelwerk. Wenn Sie eine Non-Custodial-Wallet entwickeln und niemals Verwahrung übernehmen, sind Ihre Pflichten enger, aber nicht null, und sie verschieben sich schnell, sobald das Transaktionsvolumen steigt.

Das Risikobild, bevor Sie auch nur eine Richtlinie schreiben

Stablecoin-Korridore sehen auf dem Whiteboard einfach aus und sind im Produktivbetrieb unübersichtlich. Die Fehlermuster fallen in wenige Kategorien, und Prüfer sehen sie ständig.

Strukturierung unterhalb von Schwellenwerten. Kriminelle und normale Nutzer teilen Zahlungen in Beträge unter 1.000 USD auf, um die Travel Rule nicht auszulösen. Der US PATRIOT Act, die sechste AML-Richtlinie der EU und FATF Recommendation 16 schreiben in vielen Fällen Aufzeichnungspflichten deutlich unterhalb dieses Betrags vor, und FinCEN hat historisch erwartet, dass Muster unterhalb von Schwellenwerten im Rahmen eines risikobasierten Programms überwacht werden. Der Travel-Rule-Betrag ist eine Untergrenze für den Datenaustausch, keine Obergrenze für die Überwachung.

Peer-to-Peer-Abfluss. Sobald ein Kunde USDC in einer Self-Custody-Wallet hat, kann kein VASP ihn daran hindern, sie an eine Adresse zu senden, die Sie nie geprüft haben. Korridore, die diesen Abfluss ignorieren und nur beim On-Ramp und Off-Ramp prüfen, konzentrieren am Ende den Großteil ihres Risikos in Zahlungsströmen, die auf der Empfängerseite Börsen, OTC-Desks und risikoreiche Merchant Acquirer berühren.

Jurisdiktionsarbitrage. Ein in den USA ansässiger Kunde, der an einen in der EU ansässigen Empfänger sendet, kann über einen CASP in jedem Mitgliedstaat routen, doch das US-Unternehmen schuldet weiterhin die Erfüllung der US-Pflichten. Umgekehrt kann ein mexikanischer Empfänger bei einem nicht lizenzierten lokalen Agenten auszahlen lassen, der später über eine andere Börse off-rampt, und die Bank des US-Auftraggebers wird wissen wollen, dass die Kette der Intermediäre das lokale mexikanische Recht eingehalten hat.

Blinde Flecken bei Sanktionen. OFAC, das EU-Regime restriktiver Maßnahmen und mexikanische Sanktionslisten bewegen sich alle unabhängig voneinander. Ein US-Unternehmen, das nur gegen OFAC prüft, übersieht EU- und mexikanische Listungen. Ein Unternehmen, das nur auf Wallet-Ebene prüft, übersieht, dass der wirtschaftliche Eigentümer einer Einzahlungsadresse bei einer Börse gewechselt haben kann.

Ansteckung durch Stablecoin-Depegs. SVB im März 2023 zeigte, dass selbst USDC, damals der zweitgrößte Dollar-Stablecoin, kurzzeitig bei 0,87 USD handeln kann, wenn die Bankenstruktur seines Emittenten ins Wanken gerät. FX-Korridore, die Empfängern einen exakten Peso-Betrag versprechen, erzeugen ein FX-Risiko in den Büchern von jemandem, und dieser Jemand ist meist der Sender oder der Liquiditätsanbieter. Prüfer fragen bei jeder Abwicklung, wer das Depeg-Risiko trägt.

Historische Totalverluste. Der USDC-Depeg 2022 während der SVB-Anspannung, der Zusammenbruch von TerraUSD im Mai 2022, bei dem binnen Tagen Werte in Milliardenhöhe verschwanden, und die Tether-Probleme im Jahr 2018 sind keine Randfälle. Sie sind der Grund, warum der GENIUS Act eine 1:1-Reserveunterlegung mit monatlichen Bescheinigungen und kurzfristigen Treasuries verlangt.

Die rechtlichen Ebenen, auf denen ein US-zu-Mexiko-USDC-Korridor aufbaut

Ein in den USA ansässiger Originator, der USDC an einen Empfänger in Mexiko sendet, berührt mindestens fünf sich überschneidende Regime. Ordne sie ein, bevor du ein Flussdiagramm zeichnest.

1. US-Lizenzierung als Geldübermittler. Wenn du USDC im Auftrag von Kunden im Rahmen eines Remittance-Geschäfts übermittelst, bist du nach dem Bank Secrecy Act und den meisten staatlichen Geldübermittlergesetzen ein Geldübermittler. Praktisch bedeutet das MTL-Lizenzen in jedem Bundesstaat, in dem du tätig bist, plus eine Registrierung bei FinCEN als MSB. Mehrere Bundesstaaten, darunter New York und Texas, behandeln die Verwahrung und Übermittlung von Stablecoins als Geldübermittlung, selbst wenn nie Fiatgeld durch deine Bilanz fließt.

2. Der GENIUS Act (2025). Der Guiding and Establishing National Innovation for US Stablecoins Act schafft einen föderalen Rahmen für Payment-Stablecoins, die von US-Personen ausgegeben werden. Für grenzüberschreitende Flüsse sind die beiden entscheidenden Klauseln die Beschränkungen für ausländische Emittenten und die Rangfolge im Insolvenzfall. Nicht-US-Emittenten von Payment-Stablecoins dürfen US-Kunden nicht bedienen, es sei denn, sie verfügen über eine OCC-Trust-Charter oder sie operieren über eine in den USA gegründete Tochtergesellschaft, die dieselben Standards erfüllt, also 1:1-Reserven, monatliche Bestätigungen und Rücknahme zum Nennwert. Deshalb haben Circle's USDC und Ripple's RLUSD die US-Distribution neu aufgesetzt, und deshalb haben ausländische Stablecoins wie Tether den direkten US-Einzelhandel weitgehend verlassen. Grenzüberschreitende Korridore, die von Offshore-Emittenten abhingen, mussten zwischen Mitte und Ende 2025 auf lizenzierte Emittenten umstellen.

3. MiCA-CASP-Registrierung. Die Markets in Crypto-Assets Regulation der EU gilt seit 2024 vollständig. Jedes Unternehmen, das Asset-Referenced Tokens oder E-Money-Tokens, einschließlich USDC und EURC, an EU-Kunden ausgibt oder vertreibt, muss sich als Crypto-Asset Service Provider registrieren. Um beide Seiten eines Korridors, die US- und die EU-Seite, abzuwickeln, holst du entweder eine CASP-Autorisierung in einem Mitgliedstaat und nutzt den Passporting-Effekt im gesamten Block, oder du arbeitest mit einem bestehenden CASP zusammen, der den EU-Kunden bedient, während du den US-Kunden bedienst. Prüfer erwarten eine schriftliche Vertriebsvereinbarung, die Kundentrennung, Beschwerdebearbeitung und White-Label-Haftung regelt.

4. Die FATF-Travel Rule. Empfehlung 16 verlangt, dass Originatoren und Begünstigte bei Überweisungen oberhalb eines nationalen Schwellenwerts vollständige Angaben zu Zahler und Zahlungsempfänger austauschen, in der Regel 1.000 USD/EUR, in vielen Jurisdiktionen aber weniger. Die ursprüngliche Gegenpartei muss Name, Adresse, Kontonummer und eine nationale Kennung des Originators sowie Name und Kontonummer des Begünstigten erfassen. Praktisch bedeutet das, dass deine Wallet-Infrastruktur ein Travel-Rule-Protokoll spricht, die führenden offenen Optionen sind TRISA für die US-Seite sowie Codefi Notabene und andere für die EU-Seite, und dass deine Partner das ebenfalls tun.

5. Mexikanische und lokale Emittentenregeln. Mexiko hat bislang kein einheitliches Kryptogesetz, das MiCA entspricht, aber das Ley Fintech (2018) erfasst Institutionen für elektronische Zahlungen, und die Leitlinien der CNBV behandeln Anbieter virtueller Vermögenswerte mit zunehmender Strenge. Cash-out-Partner müssen nach mexikanischem Recht lizenziert sein, damit der Peso-Teil gegenüber deiner US-Bank vertretbar ist.

Das Korridor-Design, und wo Compliance tatsächlich scheitert

Nimm ein US-Unternehmen, in jedem relevanten Bundesstaat lizenziert, bei FinCEN registriert, mit CASP-Autorisierung über Reverse Solicitation oder einen EU-Partner, das plant, USDC von US-Kunden an mexikanische Empfänger zu senden, die bei lokalen Agenten in Pesos auszahlen. Das Grundgerüst sieht gut aus. Die eigentliche Arbeit steckt in den Verbindungen.

Onboarding. Du brauchst auf der Seite des Originators eine Kundenidentifizierung, und zwar bei der für das Produktsegment geltenden BSA-Schwelle, in der Regel CIP bei Kontoeröffnung unabhängig von der Höhe. Du brauchst außerdem eine vertragliche Grundlage, um diese Daten mit der Travel-Rule-Gegenpartei auf der Empfangsseite zu teilen. Empfänger in Mexiko werden in der Regel vor der Auszahlung vom Cash-out-Partner identifiziert. Empfänger in Self-Custody müssen beim On-Ramp identifiziert werden, ein Schritt, den viele Korridore überspringen.

Die Überweisung. Sende 5.000 USDC durch den Korridor. Schritt 1, dein System sendet die Originator- und Begünstigtendaten über einen Travel-Rule-Messaging-Kanal an den empfangenden Partner. Schritt 2, du prüfst beide Adressen und ihre wirtschaftlich Berechtigten gegen OFAC-, EU- und mexikanische Listen. Schritt 3, du überträgst die USDC auf Ethereum oder, günstiger, auf einer Layer 2 wie Base. Schritt 4, der empfangende Partner validiert die Daten mit deiner Nachricht, schreibt dem Empfänger gut und zahlt in Pesos aus. Die Prüfungs-Hotspots in diesem Schritt sind fehlende Sorgfaltsprüfung der Gegenpartei beim empfangenden VASP, langsames Travel-Rule-Messaging, das Transaktionen ankommen lässt, bevor die Daten da sind, und fehlendes automatisiertes Sanktionsscreening auf Layer-2-Adressen.

Wo es klemmt. Transfers unter 1.000, die dennoch überwacht werden sollten, Peer-to-Peer-Übergaben, die die regulierte Übergabe umgehen, Jurisdiktionsarbitrage, bei der ein Kunde über einen Freund in einem großzügiger regulierten Bundesstaat routet, und Stablecoin-Depeg-Momente, die eine routinemäßige Abwicklung zu einer Unterdeckung in den Büchern einer Partei machen. Die nächsten beiden Unterabschnitte behandeln jedes dieser Themen.

Das Problem unter 1.000 und die Travel Rule in der Praxis

FATF-Empfehlung 16 setzt einen nationalen Schwellenwert von ungefähr 1.000 USD/EUR. In den USA verlangen die FinCEN-Leitlinien von 2020 und der Bank Secrecy Act selbst seit Langem, dass Originator-Informationen bei Transmittor-Transfers über 3.000 USD erfasst und aufbewahrt werden. Die FATF-konforme Erwartung, und diejenige, der du aus Sicht des Treasury als Teil eines risikobasierten Programms folgen sollst, erfasst jedoch jede Überweisung, die eine vernünftige Person als verdächtig einstufen würde. Prüfer testen zunehmend zwei Dinge.

Erstens, hast du eine schriftliche Richtlinie, die besagt, dass auch Transfers unterhalb des Schwellenwerts gegen Sanktionslisten geprüft und auf Strukturierung überwacht werden? Eine Richtlinie, die das nicht sagt, scheitert beim ersten Kunden, der an einem Nachmittag 10 Überweisungen zu je 800 USD macht. Zweitens, trägt deine technische Travel-Rule-Integration bei diesen Transfers unterhalb des Schwellenwerts tatsächlich Begünstigten- und Originator-Daten, oder nur bei Transfers oberhalb des Schwellenwerts? Praktiker nennen diese Lücke den 'silent sub-threshold' Bereich, und sie ist häufig ein Thema, das in SOC-1-Berichten Aufmerksamkeit erfordert.

Operativ hast du drei Möglichkeiten. Du wendest auf jede Überweisung unabhängig von der Höhe das volle Travel-Rule-Messaging an, das ist die stärkste Haltung, verursacht aber Kosten. Du wendest auf jede Überweisung unabhängig von der Höhe Sanktions- und AML-Prüfungen an, überträgst aber den vollständigen Travel-Rule-Datensatz nur oberhalb des Schwellenwerts, was akzeptabel ist, wenn deine Richtlinie klar ist. Du überträgst Travel-Rule-Daten nur oberhalb des Schwellenwerts, das ist die schwächste Variante und besteht nur selten eine externe Prüfung.

Peer-to-Peer-Übergaben und was Prüfer von dir dazu erwarten

Jeder Korridor verliert Fluss an Peer-to-Peer. Ein Kunde in Kalifornien sendet USDC von seinem Verwahrkonto an seine eigene Non-Custodial Wallet, und von dort an die Einzahlungsadresse einer Börse eines Empfängers in Mexiko. Dein Unternehmen hat den zweiten Schritt nie gehandhabt. Prüfer wollen trotzdem wissen, was du getan hast.

Die konservative Antwort ist, deinen eigenen On-Ramp und Off-Ramp streng zu überwachen, die Lücke in der Mitte als Tatsache des Lebens zu behandeln und sie zu dokumentieren. Die stärkere Antwort ist, für Empfänger am ersten Schritt ein risikobasiertes Monitoring anzuwenden, einschließlich Cluster-Analyse und Verhaltensbewertung, damit du Fälle identifizieren kannst, in denen ein US-Kunde konsequent an Adressen sendet, die mit Cash-out-Services für Mexiko verbunden sind. Ein kleiner Teil der Compliance-Teams nutzt Blockchain-Analytics von Firmen wie Chainalysis, TRM Labs oder Elliptic auf Wallet-Ebene, um Empfängeradressen Risikowerte zuzuweisen, selbst wenn diese Adressen non-custodial sind.

Eine Peer-to-Peer-Klausel in deinen Nutzungsbedingungen, die sanktionierte oder rechtswidrige Nutzung deiner Plattform verbietet, ist notwendig, aber nicht ausreichend. Prüfer achten außerdem auf eine Exit-Strategie. Wie sperrst du einen Kunden aus, von dem du Belege dafür hast, dass er deine Plattform nutzt, um Gelder an sanktionierte Adressen zu leiten, und wie reichst du innerhalb des 30-Tage-Fensters, das der Bank Secrecy Act zulässt, eine SAR ein?

Was Prüfer am ersten Tag tatsächlich verlangen

Praktische Durchläufe dessen, was in einem SOC 1 Type 2 Audit oder einer staatlichen Prüfung für Geldübermittler auftaucht, folgen meist einer gemeinsamen Checkliste.

• Ein schriftliches AML-Programm. Benannter Compliance-Beauftragter, schriftliche Richtlinien, unabhängige Prüfungen, laufende Schulungen und eine Risikobewertung, die mindestens jährlich aktualisiert wird. Das Department of the Treasury erwartet, dass diese Elemente vorhanden sind, bevor Sie Ihre erste Überweisung bearbeiten.
• Technische Umsetzung der Travel Rule. Kein Foliensatz. Eine funktionierende Gegenparteien-Integration auf einem Travel Rule Messaging Protocol, mit gegengezeichneten Nachweisen in Ihren Protokollen, dass Daten zu den abgedeckten Transaktionen ausgetauscht wurden.
• Sanctions-Screening auf Ethereum und Layer 2s. OFAC-Screening auf dem Ethereum-Mainnet ist die Mindestanforderung. Prüfer erwarten außerdem, dass Sie Adressen auf Base, Arbitrum und Optimism prüfen und dass Sie eine schriftliche Richtlinie dazu haben, wie oft Sie Adressen gegen aktualisierte SDN-Listen abgleichen.
• Sorgfaltsprüfung von Stablecoin-Emittenten. Für Corridors, die USDC, EURC oder RLUSD nutzen, eine aktuelle Reserve-Bestätigung, ein aktueller SOC-Bericht des Emittenten und eine schriftliche Analyse der Einlösungsmechanik und des Depeg-Risikos. Die 1:1-Deckung und die monatlichen Bestätigungen nach dem GENIUS Act machen das einfacher als 2022, aber Prüfer fragen dennoch danach.
• Sorgfaltsprüfung von Counterparty-VASPs. Für jede Börse, jeden OTC-Desk, jeden Liquiditätsanbieter und jeden Cash-out-Agenten eine schriftliche Risikobewertung mit Lizenzstatus, Aufsichtsbehörde, Jurisdiktion, wirtschaftlichem Eigentum, soweit ermittelbar, und den Kontrollen, auf die Sie sich für die von ihnen abgewickelten Segmente des Ablaufs stützen.
• SAR- und Incident-Response-Runbooks. Eingereichte, fristgerecht eingereichte Runbooks für Structuring, Sanktionstreffer, Depeg-Ereignisse und Fehler bei der Travel-Rule-Nachrichtenübermittlung. Prüfer testen diese, indem sie nach dem jüngsten Mock-Szenario fragen.

Nichts davon ist exotisch. Das erwartet ein Prüfer inzwischen bei jedem Zahlungsunternehmen, und genau das wird Ihr BSA-Beauftragter der Bank bei Ihrer nächsten Quartalsprüfung von Ihnen verlangen.

Praktische Auswirkungen für Ihr Team

Drei Erkenntnisse für die Compliance- und Treasury-Teams, die das tatsächlich umsetzen müssen. Erstens, bauen Sie den Corridor mit dem lizenzierten Emittenten im Blick. Wenn Sie davon ausgehen, dass Ihr Corridor USDC über Circle nutzt, gestalten Sie den Vertrag und die operative Integration so, dass sie einen OCC-trust-chartered Pfad abbilden, der die Regeln des GENIUS Act für ausländische Emittenten übersteht. Wenn Sie davon ausgehen, dass EURC auf der EU-Seite eines zukünftigen Corridors auftaucht, planen Sie so, dass MiCA-CASPs Sie als White-Label-Anbieter nutzen können. Diese Entscheidungen später nachzurüsten ist der teuerste Fehler in diesem Bereich.

Zweitens, behandeln Sie die Travel Rule als Produktmerkmal und nicht als Compliance-Checkbox im Backoffice. Kunden werden zunehmend erwarten, zu sehen, welche Daten geteilt werden und warum, und ein klarer Datenschutzhinweis, der den empfangenden VASP nennt, ist ein Merkmal, mit dem Sie werben können. Die Mechanik der Travel Rule zu verbergen, bis eine Aufsichtsbehörde danach fragt, schafft vermeidbare Reibung.

Drittens, planen Sie für den nächsten Regimewechsel. Der GENIUS Act ist ein Gesetz von 2025, die EU hat MiCA, Mexiko finalisiert gerade seinen eigenen Rahmen. Gehen Sie davon aus, dass die Lizenzkarte, die Sie heute zeichnen, in 18 Monaten aktualisiert werden muss. Entwickeln Sie Richtlinien, Lieferantenverträge und Gegenparteienvereinbarungen so, dass sie eine neue Regel aufnehmen können, ohne die Plattform neu aufzusetzen.

Verfolgen Sie Stablecoin-Zahlungen und die Regulierung darum herum

Stablecoin-Corridors und die Regeln darum herum entwickeln sich schnell, und das gilt auch für die Nachrichten. GENIUS-Act-Leitlinien, MiCA-CASP-Hinweise, FATF-Updates und Durchsetzungsmaßnahmen von Banken manuell zu verfolgen ist ein aussichtsloses Unterfangen. Zippfeed zeigt Schlagzeilen zu Stablecoins und zur Zahlungsregulierung mit Sentiment-Scoring (bullish, neutral oder bearish) und einer Wichtigkeitsbewertung an, damit Sie sehen können, was vor Ihrer nächsten Quartalsprüfung relevant ist.