Die europäische Auslegung der Travel Rule kennt keine Bagatellgrenze: Jede Transaktion, unabhängig vom Betrag, unterliegt der Informationspflicht. Diese Regelung ist strenger als die ursprüngliche FATF-Empfehlung, die eine Schwelle von 1.000 USD vorsah. In der EU gilt nach Artikel 14 Absatz 1 der Verordnung (EU) 2023/1113 die Pflicht zur Datenübermittlung ausnahmslos.

Das betrifft alle Transaktionen zwischen CASPs, also zwischen Krypto-Börsen, Wallet-Anbietern, Custody-Dienstleistern und Payment-Anbietern. Besonders relevant ist Artikel 14 Absatz 2 der Verordnung: Er verpflichtet CASPs auch dann zur Datenerfassung, wenn ein Transfer zu oder von einer selbstverwalteten Wallet (unhosted wallet) durchgeführt wird. In diesem Fall muss der CASP die Identität des Wallet-Inhabers feststellen und dokumentieren, sofern der Transfer 1.000 Euro oder mehr beträgt.

Ausnahmen gibt es nur in eng definierten Fällen: Transfers zwischen verschiedenen Wallets desselben Kunden beim gleichen CASP gelten nicht als externe Transaktion und unterliegen daher nicht der Übermittlungspflicht. Alle anderen Transfers – einschließlich Transaktionen zwischen dezentralen Finanzprotokollen (DeFi), wenn ein CASP beteiligt ist – fallen unter die Verordnung.

Die praktische Folge: Ein CASP in Deutschland muss bei einem 50-Euro-Transfer an einen französischen CASP dieselben Absender- und Empfängerdaten übermitteln wie bei einer 50.000-Euro-Transaktion. Das erhöht den operativen Aufwand erheblich und verlangt nach automatisierten Lösungen.

Der Begriff CASP (Crypto-Asset Service Provider) ist in der Verordnung (EU) 2023/1114 (MiCA) definiert. Artikel 3 Absatz 1 Nummer 15 MiCA nennt zehn Dienstleistungskategorien, die unter die CASP-Lizenzierung fallen. Dazu gehören:

Alle diese Anbieter, sofern sie in der EU ansässig sind oder EU-Kunden bedienen, müssen die Travel Rule ab dem 30. Dezember 2024 einhalten. Das gilt auch für Dienstleister aus Drittländern: Wenn sie Transaktionen für EU-Kunden abwickeln, greift die Verordnung unmittelbar.

Eine besondere Herausforderung entsteht beim sogenannten Sunrise-Problem: Wenn ein EU-CASP mit einem Dienstleister in einem Land ohne Travel-Rule-Verpflichtung kommunizieren muss, bleibt der EU-CASP dennoch verpflichtet, die Daten zu erfassen und bereitzustellen. Die Verordnung verbietet es CASPs, Transaktionen nur deshalb abzulehnen, weil der Empfänger-CASP nicht konform ist – allerdings muss der EU-CASP dann eine verstärkte Sorgfaltsprüfung durchführen und dies dokumentieren.

Dezentralisierte Finanzplattformen (DeFi-Protokolle) fallen nur dann unter die Verordnung, wenn sie einen identifizierbaren Betreiber haben, der als CASP einzustufen ist. Reine Smart Contracts ohne zentrale Kontrollinstanz sind derzeit nicht erfasst, doch die Rechtsprechung und Regulierungspraxis entwickeln sich hier dynamisch weiter.

Die praktische Implementierung der Travel Rule erfordert eine Kombination aus technischer Infrastruktur, Prozessanpassungen und rechtlicher Dokumentation. Der erste Schritt ist die Integration einer Travel-Rule-Compliance-Plattform. Zu den führenden Anbietern gehören TRM Labs, Chainalysis, Notabene, Sygnum und CipherTrace. Diese Plattformen bieten API-Schnittstellen, die direkt in die Transaktionssysteme der CASPs integriert werden können.

Der Implementierungsprozess umfasst typischerweise folgende Schritte:

1. Datenerfassung bei Transaktionsinitiation: Bei jedem Auftrag muss der CASP die vollständigen Kundendaten aus dem KYC-System abrufen und strukturiert bereitstellen. Das erfordert eine Verknüpfung zwischen Wallet-Adressen und Kundenidentitäten in Echtzeit.

2. Automatisierte Validierung von Wallet-Adressen: Bevor ein Transfer ausgeführt wird, muss der CASP prüfen, ob die Empfänger-Wallet einem anderen CASP oder einer selbstverwalteten Wallet gehört. Hierzu werden Blockchain-Analyse-Tools und VASP-Directories verwendet (zum Beispiel das OpenVASP-Protokoll oder die TRISA-Initiative).

3. Verschlüsselte Datenübermittlung: Die Absender- und Empfängerdaten müssen vor der Transaktion übermittelt werden, idealerweise über eine sichere, verschlüsselte Verbindung. Viele CASPs nutzen TLS 1.3 oder End-to-End-verschlüsselte Messaging-Protokolle wie das InterVASP Messaging Standard (IVMS101).

4. Aufzeichnung und Archivierung: Nach Artikel 17 der Verordnung (EU) 2023/1113 müssen alle Transferdaten mindestens fünf Jahre lang gespeichert werden. Die Daten müssen auf Anfrage der zuständigen Behörden innerhalb angemessener Fristen bereitgestellt werden können.

5. Screening gegen Sanktionslisten: Parallel zur Travel Rule müssen CASPs jede Transaktion gegen EU-Sanktionslisten, OFAC-Listen und nationale Watchlists prüfen. Das geschieht in der Regel automatisiert über Screening-Software, die in Echtzeit abgleicht.

6. Schulung und interne Compliance-Strukturen: Alle Mitarbeiter, die mit Transaktionsabwicklung zu tun haben, müssen geschult werden. Die Compliance-Abteilung muss klare Verfahren für den Umgang mit abgelehnten Transaktionen, Datenanfragen und Verdachtsmeldungen nach Artikel 33 der Verordnung (EU) 2023/1113 entwickeln.

Die größte technische Herausforderung liegt in der Interoperabilität: Nicht alle CASPs verwenden dieselben technischen Standards. Das führt zu sogenannten Interoperabilitätslücken. Internationale Initiativen wie TRISA (Travel Rule Information Sharing Architecture) und OpenVASP arbeiten an gemeinsamen Protokollen, doch Stand 2026 gibt es noch keine einheitliche globale Lösung.

Für kleinere CASPs kann die Implementierung kostenintensiv sein. Compliance-Plattformen kosten je nach Transaktionsvolumen zwischen 5.000 und 50.000 Euro pro Jahr. Hinzu kommen interne Personalkosten für Compliance-Officer und IT-Entwicklung.

Die Travel Rule ist kein weltweit einheitliches Regelwerk. Die FATF-Empfehlung 16 wurde von verschiedenen Jurisdiktionen unterschiedlich umgesetzt. In den USA gilt die Travel Rule für Transaktionen ab 3.000 USD (bei Nicht-Kunden) beziehungsweise 1.000 USD (bei Kunden), durchgesetzt durch FinCEN. In Singapur gilt die Regel ab 1.000 SGD, in der Schweiz ab 1.000 CHF. Japan hat eine eigene Auslegung mit strikten Pflichten für alle VASPs.

Das führt zu einem sogenannten Sunrise-Problem: Ein CASP in der EU muss Daten übermitteln, doch der Empfänger-CASP in einem Drittland ist möglicherweise nicht verpflichtet oder technisch nicht in der Lage, die Daten zu empfangen oder weiterzuleiten. Die Verordnung (EU) 2023/1113 löst dieses Problem durch eine klare Vorgabe: Der EU-CASP bleibt verpflichtet, die Daten zu erfassen und bereitzustellen, auch wenn der Empfänger nicht antwortet. Er muss dokumentieren, dass er seiner Pflicht nachgekommen ist.

Ein weiteres Problem entsteht bei der Interoperabilität technischer Protokolle. Die EU-Verordnung schreibt kein bestimmtes technisches Format vor, doch in der Praxis konkurrieren mehrere Standards:

Diese Fragmentierung erschwert die grenzüberschreitende Zusammenarbeit. CASPs müssen oft mehrere Protokolle gleichzeitig unterstützen oder auf Gateway-Services zurückgreifen, die Übersetzungen zwischen den Formaten ermöglichen.

Politisch bleibt umstritten, wie die Travel Rule mit dem Grundrecht auf Datenschutz vereinbar ist. Kritiker verweisen auf die Datenschutz-Grundverordnung (DSGVO, Verordnung EU 2016/679), die eine Rechtsgrundlage für jede Datenverarbeitung verlangt. Die EU-Kommission argumentiert, dass die Bekämpfung von Geldwäsche und Terrorismusfinanzierung eine ausreichende Rechtsgrundlage nach Artikel 6 Absatz 1 Buchstabe c DSGVO darstellt (rechtliche Verpflichtung). Dennoch könnten künftige Gerichtsverfahren vor dem Europäischen Gerichtshof die Balance zwischen Transparenz und Datenschutz neu justieren.