Europa schreibt 2025/26 die Spielregeln der globalen Finanzkriminalitätsbekämpfung neu. Mit der Anti-Money Laundering Authority in Frankfurt, der Markets in Crypto-Assets Regulation in Vollstreckung und einem Single Rulebook, das erstmals einheitliche AML/CFT-Standards für alle 27 Mitgliedstaaten etabliert, entsteht eine regulatorische Architektur ohne Vorbild. Was das für Compliance-Abteilungen konkret bedeutet — und wo die Fallstricke liegen.

Kapitel 1AMLA: Europas Superbehörde nimmt Fahrt auf

Die Authority for Anti-Money Laundering and Countering the Financing of Terrorism ist seit Juli 2025 operativ — im Messeturm in Frankfurt, strategisch positioniert neben EZB und Bundesbank. Aktuell arbeiten rund 120 Mitarbeiter dort; bis Ende 2027 soll die Belegschaft auf etwa 430 anwachsen, davon über 200 in der direkten Aufsicht. Das Jahresbudget wird ab 2028 auf geschätzte 92 Millionen Euro steigen, finanziert zu 70 Prozent durch Gebühren der beaufsichtigten Institute.

Das Kernmandat: Ab dem 1. Januar 2028 beaufsichtigt AMLA 40 der komplexesten Hochrisiko-Finanzinstitute und -gruppen mit grenzüberschreitendem Geschäft in mindestens sechs Mitgliedstaaten direkt. Die Selektion beginnt ab Juli 2027 in einem sechsmonatigen Verfahren. Die Vorbereitungen laufen bereits: Im Januar 2026 endete eine öffentliche Konsultation zu den Implementing Technical Standards für den Selektionsprozess. Seit März 2026 läuft eine Datenerhebung, mit der AMLA die Risikobewertungsmodelle testet und kalibriert.

Kapitel 2Die Timeline: Vom Beschluss zur Aufsicht

Kapitel 3Das Single Rulebook: Ende des Flickenteppichs

Bisher basierte EU-AML-Regulierung auf Richtlinien, die jeder Mitgliedstaat in nationales Recht umsetzen musste — mit erheblichen Interpretationsunterschieden. Das neue AML-Paket setzt primär auf eine direkt anwendbare Verordnung (AMLR): ab dem 10. Juli 2027 gelten in allen 27 Mitgliedstaaten identische Regeln für Customer Due Diligence, Beneficial Ownership, Transaction Monitoring und Reporting. Keine nationalen Varianten mehr.

Die Konsequenz für grenzüberschreitend tätige Institute: Massive Vereinfachung — aber auch massiver Umstellungsaufwand. Wer Compliance-Programme bisher länderspezifisch aufgebaut hat, muss grundlegend umarchitektieren. Die Deadline — Juli 2027 — lässt weniger als 18 Monate ab heute.

Kapitel 4MiCA wird scharf — mit Fragmentierung im Detail

Die Markets in Crypto-Assets Regulation ist das weltweit erste umfassende Rahmenwerk für Kryptomärkte. Seit dem 30. Dezember 2024 voll anwendbar auf CASPs. Über 40 CASP-Lizenzen wurden bis Oktober 2025 erteilt, die meisten in den Niederlanden und Malta.

Die AML/CFT-Verkopplung ist zentral: CASPs müssen vollständige Due Diligence, Transaktionsmonitoring, Verdachtsmeldungen und Sanktions-Screening implementieren. Die Transfer of Funds Regulation (Travel Rule) gilt seit dem 30. Dezember 2024 ohne Übergangsfrist. Ein besonderes Spannungsfeld: Stablecoins. Die FATF warnt in ihrem sechsten Update explizit, dass Stablecoins inzwischen den Großteil illegaler On-Chain-Aktivität ausmachen. Gleichzeitig ist USDT (Tether) weiterhin nicht MiCA-konform — Börsen mussten es delisten, was Liquidität fragmentiert und Nutzer auf Offshore-Alternativen drängt.

Kapitel 5Die Enforcement-Dynamik verschärft sich

US-Regulierer verhängten 2024 Strafen von 4,3 Milliarden Dollar — 95 Prozent aller weltweit registrierten Finanzstrafen. Der Kryptosektor war 2025 primäres Ziel: Die FCA vergab 2025 Gesamtstrafen von £124,2 Millionen, mit einem klaren Shift hin zu Fintechs (Starling £28,9M, Monzo £21M). OKX zahlte über 504 Millionen Dollar für AML-Versagen in den USA.

AMLA wird diese Dynamik auf EU-Ebene heben. Die direkte Aufsicht ab 2028 bedeutet: Hochrisikoinstitute unterliegen nicht mehr der jeweiligen nationalen Aufsicht mit ihren unterschiedlichen Intensitäten, sondern einer zentralen Behörde mit einheitlichen Maßstäben, Vor-Ort-Inspektionen und eigenem Ermittlungsmandat — inklusive der Befugnis, bei Widerstand die Versiegelung von Geschäftsräumen und Unterlagen zu veranlassen.

Kapitel 6Was Compliance-Abteilungen jetzt tun müssen

Sofort (2026): Gap-Analyse gegen die AMLR-Anforderungen. Besonderes Augenmerk auf harmonisierte CDD, erweiterte UBO-Definitionen und Drittländer-Geschäftsbeziehungen. Institute, die potenziell unter AMLA-Direktaufsicht fallen, sollten sich jetzt auf den Selektionsprozess vorbereiten — die Datenerhebung läuft bereits. Krypto-Dienstleister: Wer noch keine MiCA-Lizenz hat und in Jurisdiktionen mit abgelaufener Transitional Period operiert, muss sofort handeln oder den Betrieb einstellen.

Strategisch (2026–2028): RegTech-Investitionen in automatisierte CDD, Echtzeit-Monitoring und Perpetual-KYC-Fähigkeiten — die regulatorische Erwartung an technologiegestützte Compliance wird mit AMLA explizit. Cross-Border-Governance konsolidieren: Das Single Rulebook vereinheitlicht die Regeln, aber die Implementierung bleibt komplex für Institute in mehreren Mitgliedstaaten.

Kapitel 7Der Brüssel-Effekt: EU als globaler Trendsetter

MiCA wird zum globalen Referenzrahmen: Japan, Singapur, die Emirate und Brasilien entwickeln eigene Rahmenwerke, die sich an Strukturelementen orientieren — ohne das EU-Modell eins zu eins zu übernehmen. Für global operierende Institute bedeutet das: EU-Compliance wird zur Baseline für globale Programme. Wer die AMLR-Standards erfüllt, hat eine solide Grundlage für die meisten Jurisdiktionen. Wer sie verfehlt, riskiert nicht nur EU-Sanktionen, sondern Reputationsschäden, die sich auf die Lizenzierung in anderen Märkten auswirken.

Allerdings gilt auch hier Vorsicht vor Übertreibung: Der Brüssel-Effekt ist real, aber nicht automatisch. Nicht jede Jurisdiktion übernimmt EU-Standards — die USA gehen bei Krypto-Regulierung einen fundamental anderen Weg, und Singapurs MAS hat eigene, pragmatischere Ansätze gewählt. EU-Compliance ist eine starke Basis, aber kein Freibrief für globale Konformität.