Zum Hauptinhalt springen
AMLR Article Explorer · Art. 40 AMLR · Self-hosted Address Risk

Art. 40 AMLR – Measures to mitigate risks in relation to transactions with a self-hosted address

Die Crypto-EDD-Norm der AMLR für Transfers von oder zu Self-hosted Addresses, risikobasierte Identitätsprüfung, Funds-Flow-Informationen, Enhanced Monitoring und TFS-Evasion-Risiken.
Art. 40 der Verordnung (EU) 2024/1624 verpflichtet Crypto-Asset Service Provider, Geldwäsche- und Terrorismusfinanzierungsrisiken im Zusammenhang mit Transfers von Kryptowerten zu oder von Self-hosted Addresses zu identifizieren und zu bewerten.

CASPs müssen hierfür interne Policies, Verfahren und Kontrollen vorhalten und risikoproportionale Minderungsmaßnahmen anwenden. Dazu gehören insbesondere risikobasierte Maßnahmen zur Identifizierung und Verifizierung des Originators oder Beneficiary eines Transfers von oder zu einer Self-hosted Address, zusätzliche Informationen zur Herkunft und Bestimmung der Crypto-Assets, enhanced ongoing monitoring sowie sonstige Maßnahmen zur Minderung von ML/TF-Risiken und Risiken der Nichtumsetzung oder Umgehung gezielter finanzieller Sanktionen.

Für das EU AML/CTF & Sanctions Target Operating Model ist Art. 40 die zentrale Self-hosted-Address-Risk-Norm. Sie verbindet Crypto-Transfer-Monitoring, Wallet-/Address-Risk-Assessment, Originator-/Beneficiary-Verifizierung, Blockchain-Analytics, Travel-Rule-Daten, TFS-Evasion-Kontrollen, Enhanced Monitoring und AMLA-Guideline-Readiness.
Self-hosted-Logik Requirements-Mapping TOM-Mapping Controls & Evidence Umsetzung
Executive Overview

Art. 40 macht Self-hosted Addresses zu einem eigenständigen Crypto-Risk-Control-Feld.

Die Vorschrift verlangt keine pauschale Untersagung von Transfers zu oder von Self-hosted Addresses. Sie verlangt aber ein risikobasiertes Framework, das Risiken erkennt, bewertet und durch geeignete Maßnahmen mindert — einschließlich Identitätsprüfung, Funds-Flow-Informationen, Enhanced Monitoring und TFS-Evasion-Kontrollen.

Risk Assessment

Risiko identifizieren

CASPs müssen ML/TF-Risiken von Transfers zu oder von Self-hosted Addresses identifizieren und bewerten.

Identity

Originator / Beneficiary

Risikobasierte Identifizierung und Verifizierung von Originator, Beneficiary oder deren wirtschaftlich Berechtigten.

Funds Flow

Herkunft & Bestimmung

Zusätzliche Informationen zur Herkunft und Bestimmung der Crypto-Assets können erforderlich sein.

AMLA Guidelines

Guidelines bis 10.07.2027

AMLA konkretisiert Kriterien und Mittel für Identitätsprüfung und Ownership-/Control-Verifikation der Self-hosted Address.

Self-hosted Address Risk Architecture

Die regulatorische Logik von Art. 40 AMLR.

Art. 40 folgt einer risikobasierten Crypto-Transfer-Logik: Transfers zu oder von Self-hosted Addresses erkennen, ML/TF- und Sanktionsumgehungsrisiken bewerten, interne Policies und Kontrollen anwenden, bei Bedarf Originator oder Beneficiary identifizieren und verifizieren, Herkunft und Bestimmung der Crypto-Assets prüfen und Transaktionen verstärkt überwachen.

1. Detect Address TypeTransfer zu oder von einer Self-hosted Address erkennen.
2. Assess RiskML/TF- und TFS-Evasion-Risiken bewerten.
3. Verify PartiesOriginator, Beneficiary oder deren UBO risikobasiert identifizieren und verifizieren.
4. Understand FlowHerkunft und Bestimmung der Crypto-Assets analysieren.
5. Monitor & MitigateEnhanced Monitoring und sonstige Minderungsmaßnahmen anwenden.
Requirements Map

Die Mindestlogik eines Art.-40-konformen Self-hosted-Address-Frameworks.

Art. 40 muss in ein CASP-spezifisches Risk-Control-Framework übersetzt werden, das Address Detection, Risk Scoring, Identitätsprüfung, Funds-Flow-Analyse, Enhanced Monitoring, Sanktionsumgehungsrisiken und AMLA-Guidelines integriert.

Baustein nach Art. 40 AMLR Regulatorischer Inhalt Operative Bedeutung TOM-/House-Bezug Nachweisfokus
Anwendungsbereich Transfers of Crypto-Assets, die an eine Self-hosted Address gerichtet sind oder von einer Self-hosted Address stammen. CASPs müssen Transfers nach Address-Typ und Beteiligtenlogik klassifizieren können. Crypto Transfer Monitoring · Address Risk Transfer Direction, Address Classification, Self-hosted Flag, Transaction File.
Risikoidentifikation und -bewertung CASPs müssen ML/TF-Risiken im Zusammenhang mit solchen Transfers identifizieren und bewerten. Self-hosted-Address-Transfers benötigen eigenes Risk Scoring und typologiebasierte Bewertung. Crypto Risk Assessment · Risk-Based Approach Risk Score, Risk Factors, Typology Indicators, Assessment Rationale.
Interne Policies, Verfahren und Kontrollen CASPs müssen interne Policies, Verfahren und Kontrollen für diese Risikobewertung vorhalten. Self-hosted-Address-Risiken müssen in Governance, Prozessen, Systemen und Kontrollen verankert sein. Policies, Procedures & Controls Policy, Procedure, Control Design, System Rules, QA Evidence.
Risikoproportionale Minderungsmaßnahmen CASPs müssen Minderungsmaßnahmen anwenden, die den identifizierten Risiken angemessen sind. Maßnahmenumfang muss aus der konkreten Risikoanalyse abgeleitet werden. Risk Mitigation · Control Calibration Mitigation Plan, Control Selection, Residual Risk, Approval Evidence.
Identifizierung und Verifizierung Risikobasierte Maßnahmen zur Identifizierung und Verifizierung der Identität von Originator oder Beneficiary eines Transfers von oder zu einer Self-hosted Address oder deren wirtschaftlich Berechtigten. Bei erhöhtem Risiko kann die Prüfung über den eigenen Kunden hinaus auf Transferparteien und UBOs ausgeweitet werden. CDD · Beneficial Ownership · Crypto Transfers Originator / Beneficiary Data, Verification Evidence, UBO Check, Third-Party Reliance Evidence.
Reliance on Third Parties Identifizierung und Verifizierung können auch durch Reliance on Third Parties erfolgen. Third-Party-Reliance muss kontrolliert, dokumentiert und an Art.-48-ff.-Logik anschlussfähig sein. Reliance · Third-Party Controls Reliance Arrangement, Third-Party Evidence, Data Transfer, Responsibility Assessment.
Zusätzliche Informationen zur Herkunft CASPs können zusätzliche Informationen zur Herkunft der Crypto-Assets verlangen. Source-of-Crypto-Assets-Prüfung wird Teil der Risikominderung. Source of Funds · Blockchain Analytics Origin of Crypto-Assets, Wallet History, Blockchain Trace, Customer Explanation.
Zusätzliche Informationen zur Bestimmung CASPs können zusätzliche Informationen zur Bestimmung der Crypto-Assets verlangen. Destination-Analyse unterstützt Risikobewertung, Plausibilität und Sanktions-/Typologieprüfung. Destination of Funds · Transaction Context Destination Address, Beneficiary Purpose, Use-of-Funds Explanation, Risk Review.
Enhanced Ongoing Monitoring CASPs können enhanced ongoing monitoring von Transaktionen mit Self-hosted Addresses durchführen. Self-hosted-Address-Aktivitäten können intensiver überwacht und häufiger reviewed werden. Ongoing Monitoring · Crypto Detection Enhanced Monitoring Rules, Alerts, Case Reviews, Pattern Analysis.
Sonstige Maßnahmen CASPs können jede andere Maßnahme anwenden, um ML/TF-Risiken sowie Risiken der Nichtumsetzung oder Umgehung gezielter finanzieller Sanktionen zu mindern und zu steuern. Die Norm lässt Raum für zusätzliche technische und organisatorische Kontrollen. Sanctions · TFS Evasion · Control Innovation Additional Controls, Sanctions Evasion Indicators, Wallet Restrictions, Escalation Evidence.
AMLA-Guidelines bis 10.07.2027 AMLA gibt Guidelines zu Minderungsmaßnahmen nach Art. 40(1) heraus. Das Framework muss auf spätere AMLA-Konkretisierung vorbereitet sein. Regulatory Change · AMLA Readiness Guideline Monitoring, Impact Assessment, Policy Update.
Kriterien und Mittel für Identifizierung / Verifizierung AMLA-Guidelines spezifizieren Kriterien und Mittel für die Identifizierung und Verifizierung von Originator oder Beneficiary eines Transfers von oder zu einer Self-hosted Address, einschließlich Reliance on Third Parties und unter Berücksichtigung technologischer Entwicklungen. Identitäts- und Verifizierungsprozesse müssen technologieoffen und updatefähig sein. Digital KYC · Crypto Identity · Technology Readiness Verification Method, Technology Assessment, Third-Party Verification Evidence.
Ownership / Control der Self-hosted Address AMLA-Guidelines spezifizieren Kriterien und Mittel zur Verifizierung, ob die Self-hosted Address im Eigentum oder unter Kontrolle eines Kunden steht. Address-Ownership-/Control-Proofs werden zentrales Kontrollthema. Wallet Ownership Verification · Customer Control Address Ownership Proof, Control Test, Signature Proof, Customer Attestation.
Wallet Ownership & Control Layer

Art. 40 verlangt nicht nur Transferdaten, sondern eine risikobasierte Kontrolle der Self-hosted-Address-Beziehung.

Das zentrale Risiko liegt darin, dass Self-hosted Addresses nicht unmittelbar einem regulierten Intermediär zugeordnet sind. Deshalb verlangt Art. 40 ein risikobasiertes Zusammenspiel aus Address-Typ-Erkennung, Identitäts- und UBO-Prüfung, Herkunfts- und Bestimmungsanalyse, Enhanced Monitoring und Verfahren zur Verifikation, ob eine Self-hosted Address einem Kunden gehört oder von ihm kontrolliert wird.

  • Address detection: Self-hosted Address als solche erkennen und klassifizieren.
  • Party verification: Originator, Beneficiary oder UBO risikobasiert identifizieren und verifizieren.
  • Source / destination: Herkunft und Bestimmung der Crypto-Assets plausibilisieren.
  • Ownership / control: Nachweisen, ob die Adresse einem Kunden gehört oder von ihm kontrolliert wird.
  • TFS evasion: Risiken der Nichtumsetzung oder Umgehung gezielter finanzieller Sanktionen berücksichtigen.
TOM Mapping

Welche TOM-Ebenen Art. 40 AMLR beeinflusst.

Art. 40 wirkt auf Crypto Transfer Monitoring, Self-hosted-Address-Risk-Scoring, Wallet Ownership Verification, Originator-/Beneficiary-CDD, Source-/Destination-of-Crypto-Assets, Blockchain Analytics, Sanctions Screening und AMLA-Guideline-Readiness.

Crypto Transfer Monitoring

  • Self-hosted Address Detection
  • Transfer Direction
  • Transaction Risk Score
  • Enhanced Monitoring
  • Pattern Analysis

CDD & Identity Verification

  • Originator Identification
  • Beneficiary Identification
  • UBO Verification
  • Third-Party Reliance
  • Digital Verification Methods

Wallet / Address Governance

  • Address Ownership Proof
  • Address Control Test
  • Customer Wallet Mapping
  • Self-hosted Address Register
  • Customer Attestation

Funds Flow & Blockchain Analytics

  • Origin of Crypto-Assets
  • Destination of Crypto-Assets
  • Wallet History
  • Exposure Analysis
  • Transaction Trace

Sanctions & TFS Evasion

  • Sanctions Screening
  • Wallet Exposure
  • Ownership & Control Risk
  • TFS Evasion Indicators
  • Escalation Controls

Wirksamkeit nachweisen

  • Address Classification QA
  • Risk Scoring Testing
  • Monitoring Testing
  • Ownership Proof Testing
  • Remediation
Controls & Evidence

Welche Nachweise Art. 40 AMLR erzeugt.

Art. 40 ist prüfungsrelevant, weil CASPs nachweisen müssen, dass sie Self-hosted-Address-Risiken nicht nur erkennen, sondern risikobasiert bewerten, geeignete Minderungsmaßnahmen auswählen, deren Wirkung überwachen und AMLA-Guidelines in ihre Verfahren integrieren.

Nachweisbereich Typische Evidenz Prüfungsfrage
Address Classification Evidence Self-hosted-Flag, Address Type, Transfer Direction, Wallet Classification, System Log. Wurde der Transfer zu oder von einer Self-hosted Address korrekt erkannt?
Risk Assessment Evidence ML/TF Risk Score, Typology Indicators, Customer Risk, Asset Risk, Jurisdiction / Exposure Data. Wurden die spezifischen Risiken des Transfers identifiziert und bewertet?
Policy & Control Evidence Self-hosted-Address-Policy, Procedures, Control Rules, System Configuration, Training. Sind interne Policies, Verfahren und Kontrollen vorhanden?
Identity Verification Evidence Originator-/Beneficiary-Daten, Verifizierung, UBO-Daten, Reliance Evidence, Digital Proof. Wurde die Identität risikobasiert geprüft, soweit erforderlich?
Source / Destination Evidence Herkunft der Crypto-Assets, Bestimmung der Crypto-Assets, Blockchain Trace, Kundenangaben. Wurden Herkunft und Bestimmung der Crypto-Assets angemessen plausibilisiert?
Enhanced Monitoring Evidence Monitoring Rules, Alerts, Case Reviews, Pattern Analysis, Escalation Notes. Wurden Self-hosted-Address-Transfers risikobasiert verstärkt überwacht?
TFS Evasion Evidence Sanctions Screening, Wallet Exposure, Hit Review, Evasion Indicators, Escalation Decision. Wurden Risiken der Nichtumsetzung oder Umgehung gezielter finanzieller Sanktionen berücksichtigt?
Address Ownership / Control Evidence Ownership Proof, Control Test, Signature Message, Customer Attestation, Wallet Mapping. Kann nachgewiesen werden, ob die Self-hosted Address dem Kunden gehört oder von ihm kontrolliert wird?
Guideline Readiness Evidence AMLA-Guideline-Monitoring, Impact Assessment, Policy-Update, System-Update, QA. Ist das Framework auf AMLA-Guidelines nach Art. 40(2) vorbereitet?
QA Evidence Stichproben, Address-Detection-Test, Risk-Scoring-Test, Ownership-Control-Test, Findings. Funktioniert das Self-hosted-Address-Framework wirksam?
Implementation Blueprint

Wie Art. 40 AMLR praktisch umgesetzt wird.

Die Umsetzung sollte als Self-hosted Address Risk & Mitigation Framework erfolgen — mit Address Classification, Risk Scoring, Originator-/Beneficiary-Verifizierung, Source-/Destination-of-Crypto-Assets-Prüfung, Enhanced Monitoring, TFS-Evasion-Kontrollen, Wallet Ownership Verification und AMLA-Guideline-Readiness.

1. Self-hosted-Address-Erkennung einrichtenTransfers zu oder von Self-hosted Addresses technisch klassifizieren und in Transfer Monitoring, CDD und Case Management sichtbar machen.
2. Risk Scoring definierenKundenrisiko, Transferhöhe, Asset-Typ, Address-Historie, Jurisdiktionen, Blockchain-Exposure, Gegenparteien und Sanktionsindikatoren in ein Risk Score Modell überführen.
3. Policies, Verfahren und Kontrollen verankernSelf-hosted-Address-Risiken in CASP-Policies, Workflows, Eskalationsregeln, Schulungen und Kontrolltesting aufnehmen.
4. Identitäts- und UBO-Prüfung operationalisierenRisikobasiert Originator, Beneficiary oder deren wirtschaftlich Berechtigte identifizieren und verifizieren; Reliance on Third Parties nur kontrolliert nutzen.
5. Source-/Destination-Prüfung integrierenHerkunft und Bestimmung der Crypto-Assets durch Kundenangaben, Wallet-Historie, Blockchain-Analytics und Plausibilitätsprüfung bewerten.
6. Enhanced Monitoring konfigurierenSelf-hosted-Address-Transfers mit erhöhtem Risiko in vertiefte Monitoring-Szenarien, Alert-Logik und Case Reviews überführen.
7. TFS-Evasion-Kontrollen einbauenRisiken der Nichtumsetzung oder Umgehung gezielter finanzieller Sanktionen in Wallet-Screening, Exposure-Analyse und Eskalationslogik integrieren.
8. Address Ownership / Control verifizierenNachweise entwickeln, ob eine Self-hosted Address dem Kunden gehört oder von ihm kontrolliert wird, etwa durch geeignete technische oder dokumentarische Verfahren.
9. AMLA-Guideline-Readiness sicherstellenAMLA-Guidelines bis 10.07.2027 beobachten und Kriterien, Identifikationsmittel, Ownership-/Control-Prüfungen und Systemregeln aktualisieren.
Next Deep Dives

Nächste logische Artikel-Vertiefungen.

Art. 40 schließt die crypto-spezifische EDD-Logik an Shell- und Correspondent-Risiken an. Die folgenden Artikel behandeln Residence-by-Investment-Risiken und politisch exponierte Personen.

Investment Migration

Art. 41 – Residence by Investment Schemes

Art. 41 regelt zusätzliche EDD-Maßnahmen bei Drittstaatsangehörigen, die Aufenthaltsrechte gegen Investitionen beantragen.

Art. 41 öffnen →
PEP

Art. 42 – Politically Exposed Persons

Art. 42 enthält spezifische Maßnahmen bei Geschäftsbeziehungen oder gelegentlichen Transaktionen mit politisch exponierten Personen.

Art. 42 öffnen →
Crypto Correspondent

Art. 37 – Crypto Correspondent Relationships

Art. 37 regelt Krypto-Korrespondenzbeziehungen mit Respondent Entities außerhalb der Union.

Art. 37 öffnen →
Quellenbasis dieser Seite:

Verordnung (EU) 2024/1624 des Europäischen Parlaments und des Rates vom 31. Mai 2024, insbesondere Art. 40 „Measures to mitigate risks in relation to transactions with a self-hosted address“. Art. 40 verpflichtet Crypto-Asset Service Provider, ML/TF-Risiken im Zusammenhang mit Transfers of Crypto-Assets zu oder von Self-hosted Addresses zu identifizieren und zu bewerten, interne Policies, Verfahren und Kontrollen vorzuhalten und risikoproportionale Minderungsmaßnahmen anzuwenden, einschließlich risikobasierter Identifizierung und Verifizierung von Originator oder Beneficiary beziehungsweise deren wirtschaftlich Berechtigten, zusätzlicher Informationen zur Herkunft und Bestimmung der Crypto-Assets, enhanced ongoing monitoring sowie sonstiger Maßnahmen zur Minderung von ML/TF- und TFS-Evasion-Risiken. Quelle: EUR-Lex, Verordnung (EU) 2024/1624.

Berücksichtigter Kontext: Art. 20 AMLR zu Customer Due Diligence Measures; Art. 37 AMLR zu Krypto-Korrespondenzbeziehungen; Art. 39 AMLR zu Shell Institutions und unregulierten Crypto-Asset Services; Verordnung (EU) 2023/1113 zu Informationen bei Transfers of Funds und bestimmten Crypto-Assets, insbesondere zur Definition der Self-hosted Address; Verordnung (EU) 2023/1114 zu Märkten für Kryptowerte.

Diese Seite stellt eine fachliche Analyse-, Mapping- und Transformationsdarstellung dar. Sie ersetzt keinen amtlichen Rechtstext, keine Rechtsberatung und keine verbindliche Aufsichtsauslegung.
Nach oben