BitMEX war kein kleiner Akteur. Die Derivatebörse, 2014 gegründet und in den Seychellen registriert, wickelte auf dem Höhepunkt täglich Kontrakte im Wert von mehreren Milliarden Dollar ab. Das Geschäftsmodell beruhte auf hochgehebelten Bitcoin-Derivaten – und auf einer Compliance-Architektur, die diesen Namen nicht verdiente.

Was die US-Ermittler ab Oktober 2020 dokumentierten, war kein Versehen. Die Commodity Futures Trading Commission (CFTC) und das Financial Crimes Enforcement Network (FinCEN) warfen BitMEX vor, über Jahre hinweg systematisch auf Anti-Geldwäsche-Programme (AML) und Kundenidentifizierungsprozesse (KYC) verzichtet zu haben. Es gab keinen ausreichend ausgestatteten Compliance-Beauftragten, verdächtige Transaktionen wurden nicht gemeldet. Hinzu kommt: US-Kunden wurden aktiv bedient, während das Unternehmen behauptete, ihnen keinen Zugang zu gewähren – und entsprechende Nutzerdatensätze sollen gelöscht worden sein. Im August 2021 einigten sich CFTC und FinCEN mit BitMEX auf eine Zahlung von 100 Millionen US-Dollar. Das Department of Justice hatte bereits im Oktober 2020 Anklage wegen Verschwörung zur Umgehung des Bank Secrecy Act erhoben. Die Gründer Arthur Hayes, Benjamin Delo und Samuel Reed bekannten sich 2022 schuldig. Die Gesamtbelastung aus zivil- und strafrechtlichen Verfahren überstieg 230 Millionen US-Dollar.

Versprochen war ein regulierungskonformer Betrieb; geliefert wurde ein KYC-System, das nicht prüfte, wen es bediente.

Bemerkenswert ist, was in diesem Zeitraum in Europa geschah: wenig Sichtbares. Das liegt nicht an fehlendem Regelwerk. Die fünfte EU-Geldwäscherichtlinie (AMLD5) verpflichtet Kryptobörsen und Wallet-Anbieter seit 2020 zu KYC-Pflichten und zur Meldung verdächtiger Aktivitäten. Die Transfer-of-Funds-Regulation (TFR), die die sogenannte Travel Rule der Financial Action Task Force umsetzt, trat zum 30. Dezember 2024 in Kraft und verlangt, dass bei Krypto-Transfers Daten über Auftraggeber und Begünstigte mitgeführt werden. Auf die Markets in Crypto-Assets Regulation (MiCAR) folgten weitere Konkretisierungen.

Das Problem liegt nicht in der Texte, sondern in deren Vollzug. Die EU delegiert die Aufsicht über Kryptodienstleister an nationale Behörden – mit dem Ergebnis, dass 27 Mitgliedstaaten 27 unterschiedlich ausgestattete und unterschiedlich motivierte Behörden unterhalten. Ein Anbieter, der in Malta lizenziert ist und vorwiegend Nutzer in Deutschland bedient, unterliegt de facto der Auslegungshoheit Maltas. Koordination findet statt, Sanktionskapazität hingegen ist national begrenzt. Ein Fall wie BitMEX – mit Sitz in den Seychellen, regulatorisch kaum greifbar in Europa – konnte genau deshalb lange operieren, weil kein europäischer Vollzugsarm zuständig war oder sich zuständig erklärte.

Die USA agierten anders. Der extraterritoriale Anspruch des Bank Secrecy Act greift immer dann, wenn US-Bürger bedient werden oder US-Dollar fließen – unabhängig davon, wo ein Unternehmen registriert ist. Das macht amerikanische Behörden zu faktischen Weltmarkt-Regulierern für dollardenominierte Kryptogeschäfte. Diese Reichweite hat Europa strukturell nicht.

Die EU versucht, das zu ändern. Ab Juli 2027 tritt die Anti-Money Laundering Regulation (AMLR) in Kraft: Krypto-Dienstleister müssen Kunden ab einer Transaktionsgröße von 1.000 Euro vollständig identifizieren, Privacy Coins und Self-Custody-Wallets unterliegen verschärfter Sorgfaltspflicht. Parallel nimmt die neu geschaffene Behörde AMLA (Anti-Money Laundering Authority) ihre Arbeit auf. Sie soll direkte Aufsicht über bestimmte hochrisikobehaftete Anbieter übernehmen und die nationalen Behörden koordinieren. Die AMLA selbst stuft Kryptowährungen als das größte Einzelrisiko im europäischen Geldwäschebereich ein.

Ob das reicht, hängt an zwei Fragen, die das Briefing offen lässt und die das Stück deshalb als offen benennt: Erstens, wie weit die direkte Aufsichtskompetenz der AMLA tatsächlich reicht – ob sie eigene Durchsetzungsbefugnisse gegen außereuropäische Anbieter hat oder nur koordiniert. Zweitens, wie die Kooperation zwischen nationalen Financial Intelligence Units und der AMLA in konkreten Fällen abläuft, wenn Zuständigkeiten überlagern.

Der Fall BitMEX gibt darauf keine Antwort, aber er stellt die Frage scharf: Wäre ein europäischer Vollzugsarm 2020 in der Lage gewesen, eine Börse mit Sitz in den Seychellen mit vergleichbarer Wucht zu belangen? Die Architektur, die 2027 vollständig in Kraft tritt, ist darauf ausgelegt, die Antwort langfristig zu ändern. Ob sie es tut, lässt sich an einem konkreten Indikator ablesen: Verhängt die AMLA bis Ende 2028 mindestens eine direkte Sanktion gegen einen außereuropäischen Kryptodienstleister mit substanziellem EU-Nutzerstamm – oder bleibt sie Koordinationsstelle, während der eigentliche Vollzug weiterhin national fragmentiert bleibt?