Malta CASP-Zulassung: Warum KYC über Erfolg oder Misserfolg Ihrer Lizenz entscheiden kann

Die maltesische Finanzermittlungsbehörde (FIAU) erhielt im Jahr 2024 1,751 Meldungen über verdächtige Transaktionen aus dem Bereich der virtuellen Finanzanlagen, gegenüber 1,476 im Vorjahr (FIAU-Jahresbericht 2024). Dies entspricht einem Anstieg der behördlichen Aufmerksamkeit um 18.6 % gegenüber dem Vorjahr. Der Fokus liegt dabei auf derselben kleinen Gruppe von Unternehmen, die derzeit ihre Lizenzen gemäß dem maltesischen Gesetz zur Regulierung von Finanztransaktionen (MiCA) neu aufbauen.

Ein Krypto-Asset-Dienstleister (CASP) ist jedes Unternehmen, das innerhalb der Europäischen Union kryptobezogene Dienstleistungen gemäß den geltenden Gesetzen anbietet. Regulierung der Märkte für Krypto-Assets (MiCA)Das einheitliche Regelwerk des Blocks für Krypto-Assets. In Malta genießen bestehende Lizenzinhaber für virtuelle Finanzanlagen (VFA) bis zum 1. Juli 2026 Bestandsschutz; danach ist die CASP-Lizenz der maltesischen Finanzdienstleistungsaufsicht (MFSA) die einzige Rechtsgrundlage für die Erbringung dieser Dienstleistungen.

Der 1. Juli 2026 als Stichtag für die Einführung des CASP-Gesetzes wird im Rechtskalender häufig als Übergangsereignis aufgeführt. Diese Darstellung verschleiert jedoch das eigentliche Risiko. Die CASP-Zulassung durch die MFSA ist kein bloßes Anmeldeereignis, sondern ein Ereignis im Zusammenhang mit der KYC-Infrastruktur. Nur Unternehmen, die die MiCA-Schwelle mit intakter Lizenz und Bankzugang überschreiten, können die gleichzeitige Prüfung durch drei verschiedene Prüfer problemlos überstehen.

Warum ist die CASP-Frist im Juli 2026 ein Ereignis der KYC-Infrastruktur und keine rechtliche Einreichung?

Das maltesische Handelsgesetzbuch (MiCA) legt den Lizenzierungsrahmen fest. Die KYC-Pflicht (Know Your Customer) wird jedoch nicht darin definiert. Diese Pflicht ergibt sich aus den maltesischen Vorschriften zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (PMLFTR) und den EU-Geldwäscherichtlinien, die unabhängig von der Lizenzierungsarchitektur des MiCA gelten. Diese Unterscheidung ist relevant, da sie festlegt, worauf die Prüfer der maltesischen Finanzaufsichtsbehörde (MFSA) bei der Überprüfung eines CASP-Antrags achten.

Ein Antrag bei der MFSA prüft, ob Ihre Onboarding-Infrastruktur den AML-Vorschriften, den Erwartungen an operationelle Risiken und den Governance-Standards der MFSA für jedes regulierte Unternehmen entspricht. Eine rechtliche Einreichung kann innerhalb weniger Tage erfolgen. Eine KYC-Infrastruktur hingegen nicht. Wenn Ihre aktuelle Systemarchitektur auf dem VFA-Regime basiert, arbeiten Sie mit Kontrollmechanismen, die für einen nationalen Rahmen konzipiert wurden, dessen Geltungsbereich enger gefasst war als der der MFSA-Prüfungen gemäß den MiCA-Vorgaben.

Die praktische Konsequenz für Compliance-Beauftragte ist, dass die CASP-Prüfung ein zweistufiges Verfahren darstellt. Die MFSA untersucht die Rechtsstruktur, die Eignungsprüfung der Geschäftsführer und das Geschäftsmodell. Anschließend prüfen die Prüfer, ob das AML-Programm, die CDD- und EDD-Prozesse sowie die Sanktionen und PEP-Screening Die Abdeckung und der Prüfpfad erfüllen die erforderlichen Standards im realen Onboarding-System, nicht nur auf dem Papier.

Warum beobachtet die FIAU Kryptowährungen so genau, und was bedeutet das für CASP-Bewerber?

Die FIAU ist Maltas Aufsichtsbehörde für Geldwäschebekämpfung und Finanzinformationen. Sie prüft alle regulierten Sektoren hinsichtlich der Qualität der Meldungen verdächtiger Transaktionen und der zugrunde liegenden Geldwäschebekämpfungsmaßnahmen. Im Jahr 2024 gingen bei der FIAU 9,430 Meldungen verdächtiger Transaktionen aus allen Sektoren ein, wobei der Sektor der virtuellen Finanzanlagen den am schnellsten wachsenden Anteil an diesem Volumen aufwies. Jede CASP-Anwendung landet bei einem System, das die Angriffsfläche Ihres Unternehmens bereits kennt.

Der Jahresbericht 2024 der FIAU verzeichnet 187 aufsichtsrechtliche Interventionen und 70 weitere Durchsetzungsmaßnahmen gegen die betroffenen Personen (FIAU-Rekord 2024Der Bereich Online-Glücksspiel bleibt der meldestärkste Sektor, doch der Sektor der virtuellen Finanzanlagen verzeichnet das schnellste Wachstum. Krypto-Unternehmen reichten 2024 1,751 Meldungen über verdächtige Transaktionen (STRs) ein, gegenüber 1,476 im Jahr 2023 – eine Wachstumsrate, die prozentual alle anderen regulierten Kategorien übertraf.

Für einen CASP-Antragsteller bedeuten diese Zahlen eine konkrete Erwartung. Die FIAU und damit auch die MFSA erwarten von CASPs, dass sie ein AML-Programm auf dem gleichen Niveau wie E-Geld-Institute oder lizenzierte Banken unterhalten. Prüfprotokolle müssen einer thematischen Überprüfung standhalten. Markierte Kunden benötigen eine dokumentierte Begründung. Abgeschlossene Warnmeldungen müssen einen namentlich genannten Analysten, einen Zeitstempel und einen Entscheidungsbeleg enthalten, den die FIAU auch zwei Jahre später ohne Rekonstruktionsarbeiten erneut prüfen kann.

Der praktische Test besteht darin, ob Ihr System auf Anfrage die Frage eines FIAU-Aufsichtsbeamten beantworten kann.

Was genau prüft die MFSA bei einer CASP-Zulassungsprüfung?

Das CASP-Zulassungsverfahren der MFSA ist öffentlich dokumentiert und orientiert sich an den Anforderungen der EU-MiCA. Äußerlich wirkt der Antrag wie eine Checkliste. Die eigentliche Tiefe liegt jedoch in fünf Schwerpunktbereichen, in denen die MFSA in der Vergangenheit Anträge zur Überarbeitung zurückgesandt hat. Jeder dieser Bereiche prüft die operative Einsatzbereitschaft und nicht nur die rechtliche Zulässigkeit.

Die Überprüfung durch die MFSA konzentriert sich auf fünf Schwerpunkte:

Die fünf Bausteine ​​eines CASP-fähigen KYC-Stacks

Ein CASP-konformer KYC-Stack besteht aus fünf aufeinander abgestimmten Funktionen, die in einem einzigen Prüfprotokoll zusammengefasst sind. Jede einzelne Funktion muss einer Prüfung durch die MFSA, einer thematischen Prüfung durch die FIAU und dem Sorgfaltsfragebogen der Korrespondenzbank standhalten. Die meisten Stacks aus der VFA-Ära decken nur ein oder zwei dieser Punkte gut ab und überlassen die übrigen der manuellen Prüfung. Dies ist der Hauptgrund, warum ein scheinbar konformes Programm die CASP-Hürde dennoch nicht überwindet. Unternehmen, die die Zulassung beim ersten Versuch erhalten, haben alle fünf Funktionen neu implementiert.

1. Kunden-Due-Diligence (CDD) Die Prüfung umfasst Identität, Wohnsitz und Risikostufe jedes Neukunden. Abgelehnte Dokumente werden anhand eines Begründungscodes und nicht mit einer allgemeinen Fehlermeldung gekennzeichnet. Die MFSA erwartet einen vollständigen Prüfpfad, der die durchgeführten Prüfungen und die Gründe für die getroffenen Entscheidungen dokumentiert.
2. Erweiterte Due Diligence (EDD) Gilt für Hochrisikokunden, politisch exponierte Personen und Transaktionsmuster, die Risikoschwellenwerte überschreiten. Bei der erweiterten Sorgfaltspflicht (EDD) stößt die VFA-Strategie häufig an ihre Grenzen, da die Auslöser zu hoch angesetzt sind.
3. Herkunft der Mittel Die Überprüfung der Vermögensherkunft erfolgt mithilfe strukturierter Arbeitsabläufe, die durch Dokumente belegt sind, welche die FIAU auch zwei Jahre später noch rekonstruieren kann. Dies ist der häufigste Fehlerpunkt bei Anträgen der MFSA.
4. Sanktionen, PEP und negative Medienpräsenz Sie unterliegen nun einer fortlaufenden Überwachungspflicht, nicht mehr nur einer einmaligen Prüfung. Sowohl die MFSA als auch die FIAU erwarten, dass ein Kunde, der zu einer sanktionierten Partei wird oder in den Medien negativ dargestellt wird, nahezu in Echtzeit gemeldet wird.
5. Der FIAU-konforme Prüfpfad protokolliert jede Onboarding-Entscheidung, jede Warnung und jede Kundendatei mit Zeitstempel, dem zuständigen Analysten und der Entscheidungsbegründung. Dieser Datensatz muss jederzeit rekonstruierbar sein und darf nicht erst während des Audits erstellt werden.

Warum führen Maltas Banken vor der Kontoeröffnung eine eigene KYC-Prüfung durch?

Der Zugang zu Bankdienstleistungen ist eine stillschweigende Voraussetzung für das Überleben im Rahmen der CASP-Übergangsphase. Maltesische Banken sind verpflichtet, bei jeder Geschäftsbeziehung eine Kundenprüfung durchzuführen, und Korrespondenzbanken in anderen Jurisdiktionen müssen ihrerseits eine solche Prüfung der maltesischen Banken vornehmen. Ein CASP-Kunde mit unzureichenden Onboarding-Kontrollen birgt ein sich verstärkendes Risiko, das sich entlang der Korrespondenzbankkette ausbreitet. Korrespondenzbanken reagieren auf dieses Risiko, indem sie die Geschäftsbeziehung beenden.

Banken achten bei einem CASP-Antragsteller auf drei Dinge. Eine dokumentierte AML-Programm Das entspricht den Erwartungen der MFSA und bildet die Grundlage. Live-Onboarding-Kontrollen, die mit echten Antragstellern statt mit Daten aus einer Richtliniendatei arbeiten, erhöhen das Potenzial. Die Fähigkeit, auf Anfrage eine vollständige Kundendatei zu erstellen, ist entscheidend für die bankinterne Prüfung, da Korrespondenzbanken in dieser Geschwindigkeit Rückfragen stellen.

Firmen, die die Prüfung nicht bestehen KYC-Verfahren der Bank Der Test wird in der Praxis den Zugang zu Euro-Zahlungssystemen verlieren. Die Lizenz allein ist wirtschaftlich nicht tragfähig, wenn die Bankbeziehung beendet wird.

Wie hilft Shufti maltesischen Krypto-Unternehmen, die MFSA-Prüfung zu bestehen und den Zugang zu Bankdienstleistungen zu behalten?

Die Plattform von Shufti vereint Kundenprüfung, Geldwäscheprävention und laufende Überwachung in einem einzigen Onboarding-Prozess und erzeugt so standardmäßig einen lückenlosen Prüfpfad. Dies ist in Malta von Bedeutung, da derselbe Prüfpfad nacheinander von drei verschiedenen Prüfstellen geprüft werden muss. Die MFSA prüft ihn im Rahmen des CASP-Antragsverfahrens, die FIAU im Rahmen der thematischen Aufsicht und eine Korrespondenzbank im Rahmen ihrer eigenen Sorgfaltsprüfung der maltesischen Bank. Ein System, ein Prüfpfad, drei Adressaten.

Das KYC-Überprüfung Die Schicht übernimmt Dokumenten-, Biometrie- und Datenprüfungen für eine Vielzahl von Dokumententypen und Rechtsordnungen, was wichtig ist, wenn ein in Malta registrierter CASP einen EU-weiten Kundenstamm betreut. Kontinuierlich AML screening Das System führt Sanktions-, PEP- und Negativmedienprüfungen nicht nur beim Onboarding durch, sondern legt die Gründe für jede Warnung offen, sodass Analysten die Fälle mit dokumentierter Begründung abschließen können. Beide Systeme sind in konfigurierbare Workflows eingebunden, die auf kryptospezifische Risiken abgestimmt sind und keiner generischen Screening-Kaskade folgen.

Firmen, die ihre MFSA CASP-Zulassung beim ersten Versuch erhalten und ihre maltesischen Bankbeziehungen während des Übergangs aufrechterhalten, sind diejenigen, deren Onboarding-System die Frage eines Prüfers auf Anfrage beantworten kann.

Alle in Malta lizenzierten Krypto-Unternehmen werden in den nächsten fünfzehn Monaten nach denselben Standards der MFSA, FIAU und Korrespondenzbanken geprüft. Der Onboarding-Prozess wird darüber entscheiden, ob dies zu einem Routinevorgang oder zu einer Krise für die Unternehmen wird. Shuftis Ansatz einer einzigen Plattform für KYC, AML und laufende Überwachung Es basiert auf der Art von Prüfprotokoll, die diese drei Gutachter erwarten, und hält einer genauen Prüfung ohne zusätzliche Erweiterungen oder Flickwerk von Drittanbietern stand. Sehen Sie selbst. Shufti unterstützt Maltas regulierte Unternehmen auf der entsprechenden Malta-Seite, oder oder fordere eine Demo an und die Überprüfung beginnt in wenigen Minuten.