Unternehmen im Bereich virtueller Vermögenswerte unterliegen in den VAE dem vollen bundesrechtlichen Geldwäscheregime, und VARA und CMA gehen noch weiter

Das Bundesgesetz von 2025 behandelt Unternehmen für virtuelle Vermögenswerte wie Finanzinstitute

Jeder Dienstleister für virtuelle Vermögenswerte (VASP), der von den VAE aus tätig ist, muss seine Geldwäscherisiken bewerten, Kunden und wirtschaftlich Berechtigte identifizieren, Verdachtsfälle der Meldestelle für Finanzinformationen (Financial Intelligence Unit, FIU) melden, gezielte finanzielle Sanktionen sofort umsetzen und Aufzeichnungen aufbewahren (Artikel 18 und 19 des Bundesgesetzesdekrets Nr. 10 von 2025). Das am 30. September 2025 erlassene Gesetzesdekret hob das Geldwäschegesetz von 2018 auf (Artikel 41); seine Durchführungsverordnung, der Kabinettsbeschluss Nr. 134 von 2025, ersetzte die Durchführungsverordnung von 2019 (Artikel 70) und trat nach Angaben des Gesetzesportals der VAE am 14. Dezember 2025 in Kraft.

Ein Dienstleister für virtuelle Vermögenswerte ist jeder, der als gewerbliche Tätigkeit Tätigkeiten mit virtuellen Vermögenswerten für eine andere Person oder in deren Namen ausübt (Artikel 1). Artikel 4 der Durchführungsverordnung zählt sie auf: Tausch zwischen virtuellen Vermögenswerten und Fiatwährung oder zwischen virtuellen Vermögenswerten, Übertragung, Verwahrung oder Verwaltung sowie Dienstleistungen im Zusammenhang mit dem Angebot oder Verkauf durch einen Emittenten. Artikel 20 des Gesetzesdekrets verbietet die Tätigkeit ohne Lizenz, Registrierung oder Eintragung.

Wer beaufsichtigt: die VARA in Dubai, die CMA auf Bundesebene

In Dubai außerhalb des DIFC ist die VARA nach den Geldwäschegesetzen des Bundes eine benannte Aufsichtsbehörde (Supervisory Authority) für alle Anbieter virtueller Vermögenswerte (Vorschrift VI.A.3 der VARA-Verordnung) und übt dort aufgrund der Delegation im Kabinettsbeschluss Nr. 112 von 2022 die Lizenzierungs- und Aufsichtsbefugnisse der Bundesaufsicht aus, einschließlich Maßnahmen bei verdächtigen Transaktionen (Artikel 2 und 4). Ihre Lizenznehmer befolgen die Bundesgesetze und die Regeln der VARA (Vorschrift VI.B.1), vor allem Teil III des Regelwerks für Compliance und Risikomanagement (Compliance and Risk Management Rulebook).

Auf Bundesebene beaufsichtigt die Kapitalmarktbehörde (CMA) Tätigkeiten mit virtuellen Vermögenswerten im gesamten Staat und in seinen nichtfinanziellen Freizonen nach dem Bundesgesetzesdekret Nr. 33 von 2025, das seit dem 1. Januar 2026 in Kraft ist (Artikel 39(3)). Die Kabinettsbeschlüsse Nr. 111 und 112 von 2022 bleiben in Kraft, soweit sie mit den Gesetzen von 2025 vereinbar sind (Artikel 27(3) des Bundesgesetzesdekrets Nr. 32 von 2025); der Beschluss 111 verpflichtet jeden Anbieter auf die Geldwäschegesetzgebung (Artikel 8) und erlaubt der Bundesaufsicht, lokal lizenzierte Anbieter zu überwachen (Artikel 9(2)). Der CMA-Beschluss Nr. 04/Chairman von 2026, in Kraft seit dem 28. Februar 2026, wendet den AML-Abschnitt des CMA-Regelwerks auf ihre Lizenznehmer an (Modul Geschäftsregulierung, Business Regulation Module, Artikel 4).

Weder die Aufsicht der CMA noch der Beschluss 111 (Artikel 3(2)(a)) erstreckt sich auf die Finanzfreizonen, und der Zuständigkeitsbereich der VARA endet am DIFC; unser Begleitbeitrag stellt die dort zuständigen Aufsichtsbehörden dar.

Sorgfaltspflichten: jede Geschäftsbeziehung und gelegentliche Transaktionen ab 3.500 AED

Sorgfaltspflichten gelten bei Beginn einer Geschäftsbeziehung, bei Verdacht und bei Zweifeln an früheren Identifizierungsdaten (Artikel 7(1) der Durchführungsverordnung). Bei gelegentlichen Transaktionen wendet ein Unternehmen für virtuelle Vermögenswerte sie ab 3.500 AED an, wobei verbundene Transaktionen zusammengerechnet werden (Artikel 7(3)); die VARA verwendet denselben Betrag und erfasst zusätzlich jede Transaktion für einen Hochrisikokunden (Regel III.E.4).

Bei einem Unternehmenskunden identifiziert das Unternehmen jede natürliche Person, die 25 Prozent oder mehr hält, dann diejenige, die ihn auf andere Weise kontrolliert, und wenn beides nicht greift, seine leitenden Führungskräfte (Artikel 10). Bei Hochrisikokunden und politisch exponierten wirtschaftlich Berechtigten überprüft ein VARA-Lizenznehmer die Herkunft der Mittel und die Herkunft des Vermögens, holt die Zustimmung der Geschäftsleitung ein und verlangt, dass die erste Transaktion von einem Konto auf den Namen des Kunden bei einem regulierten Institut stammt (Regel III.E.10).

Können die Sorgfaltspflichten nicht vollständig erfüllt werden, dürfen weder die Geschäftsbeziehung noch die Transaktion fortgeführt werden (Artikel 14; Regel III.E.8). Der Rückgriff auf einen regulierten Dritten ist erlaubt, die Verantwortung bleibt aber beim Unternehmen (Artikel 20; Regel III.E.9).

Transfers, Screening und Sanktionen laufen in Echtzeit

Nach Artikel 36(2) beschafft das auftraggebende Unternehmen Namen, Kontonummer oder Wallet-Adresse und Wohn- oder Geschäftsanschrift des Auftraggebers sowie Namen und Konto oder Wallet des Begünstigten und übermittelt sie sofort und sicher an den Anbieter des Begünstigten, der sie ebenfalls vorhält. Die VARA wendet dasselbe Minimum auf Transfers mit einem Wert von mehr als 3.500 AED an und verlangt Sorgfaltsprüfungen gegenüber den Anbietern auf der Gegenseite und eine Entscheidung über selbstverwahrte Wallets (unhosted wallets) (Regeln III.G.2 bis III.G.7).

Artikel 36(2) wendet zudem die Artikel 26 bis 33, darunter die Regeln für Geldtransfers (wire transfers), verhältnismäßig und nach Weisung der Aufsichtsbehörde auf Unternehmen für virtuelle Vermögenswerte an, und Artikel 1 zählt einen Transfer eines Anbieters virtueller Vermögenswerte an einen anderen Anbieter oder an eine Wallet als Geldtransfer. Die Daten begleiten also jeden internationalen Transfer, und die Angaben des Auftraggebers werden ab 3.500 AED überprüft (Artikel 28(1) und (3)). Auch der AML-Abschnitt der CMA verlangt Basisdaten zu jedem Transfer und umfassendere Angaben zum Auftraggeber ab 3.500 AED (Kapitel 5, Artikel 1 und 4(1)). Die Regel der VARA, die vor der Durchführungsverordnung von 2025 verfasst wurde, setzt oberhalb von 3.500 AED an, ist aber ein Minimum, das das Bundesrecht ergänzen kann (Regel III.G.1), und Artikel 35(1) erlaubt der Aufsichtsbehörde, Umfang und Grenzen von Transfers festzulegen.

Artikel 36(3) überträgt Unternehmen für virtuelle Vermögenswerte jede Sanktionspflicht der Finanzinstitute, einschließlich der Registrierung beim Exekutivbüro (Executive Office) und der Überprüfung von Kunden, Eigentümern und Transaktionen anhand der Listen der Vereinten Nationen und der lokalen Listen (Artikel 21 des Kabinettsbeschlusses Nr. 74 von 2020). Artikel 15 dieses Beschlusses verlangt ein Einfrieren innerhalb von 24 Stunden nach der Listung und eine Mitteilung an das Exekutivbüro innerhalb von fünf Geschäftstagen. Die VARA verlangt zusätzlich ein automatisiertes Sanktionsscreening von Transaktionen in Echtzeit sowie Risikoregeln, die Kunden, Eigentümer und Wallet-Adressen überprüfen (Regeln III.B.3 und III.H.1 bis III.H.5).

Verdachtsmeldungen, Beauftragte und Aufzeichnungen

Verdächtige Transaktionen werden der FIU unabhängig von ihrem Wert unverzüglich gemeldet (Artikel 18 des Gesetzesdekrets); die VARA schreibt goAML vor (Regel III.F.4) und gibt dem Geldwäschebeauftragten (Money Laundering Reporting Officer, MLRO) 48 Stunden, um Anfragen der FIU oder der VARA zu beantworten (Regel III.F.3). Die Warnung des Betroffenen (Tipping-off) ist verboten (Artikel 19 der Durchführungsverordnung). Nach dem Gesetzesdekret wird sie mit Freiheitsstrafe und Geldstrafe von mindestens 50.000 AED oder mit einer dieser Strafen geahndet (Artikel 29(1)), die vorsätzlich oder grob fahrlässig unterlassene Meldung mit Freiheitsstrafe und Geldstrafe von 100.000 AED bis 1 Million AED oder mit einer dieser Strafen (Artikel 28).

Die Durchführungsverordnung verlangt einen unabhängigen Compliance-Beauftragten auf Leitungsebene (Artikel 22), dessen Bestellung die Aufsichtsbehörde vorab genehmigt (Artikel 49(18)). Die VARA verlangt einen Compliance-Beauftragten mit fünf Jahren Compliance-Erfahrung, Wohnsitz in den VAE oder Pass der VAE, Vollzeitanstellung und direktem Zugang zum Leitungsorgan (Regel I.C.1) sowie einen MLRO mit zwei Jahren Erfahrung in der Geldwäschebekämpfung, der dem Leitungsorgan vierteljährlich berichtet (Regeln III.A.1 und III.A.2); die MLRO-Funktion kann ausgelagert werden (Regelwerk für Unternehmen, Regel IV.A.3). Die CMA verlangt, dass beide Beauftragte im Staat ansässig sind (Modul Allgemeiner Rahmen, Artikel 54(2)), sowie einen halbjährlichen Bericht über die internen Kontrollen (AML-Abschnitt, Kapitel 7).

Aufzeichnungen sind nach Bundesrecht mindestens fünf Jahre aufzubewahren, gerechnet ab dem Ende der Transaktion oder Geschäftsbeziehung und bei Sorgfaltsunterlagen ab einer späteren Prüfung, Ermittlung oder rechtskräftigen Entscheidung (Artikel 25 der Durchführungsverordnung); nach den Regeln der VARA acht Jahre und, wo sie die nationale Sicherheit betreffen können, unbefristet (Regeln I.F.2 und III.I.2); und nach dem AML-Abschnitt der CMA zehn Jahre (Kapitel 12, Artikel 1). Die VARA verlangt außerdem mindestens alle drei Monate unternehmensweite und kundenbezogene Risikobewertungen (Regeln III.D.3 und III.D.8) sowie Geldwäsche-Richtlinien, die von einem sachkundigen Dritten testiert und innerhalb von 21 Kalendertagen nach einer Änderung erneut eingereicht werden (Regel III.B.4).

Sanktionen treffen das Unternehmen und die Personen, die es führen

Eine Aufsichtsbehörde kann verwarnen, Geldbußen von 10.000 AED bis 5 Millionen AED je Verstoß verhängen, Geschäftsleiter oder die Tätigkeit suspendieren, die Lizenz widerrufen und das Ergebnis veröffentlichen (Artikel 17 des Gesetzesdekrets). Einem Unternehmen, dessen Vertreter oder Geschäftsleiter in seinem Namen Straftaten begehen, etwa unterlassene Meldungen, Sanktionsverstöße oder eine Tätigkeit ohne Lizenz, droht eine Geldstrafe von 200.000 AED bis 10 Millionen AED (Artikel 27(2)). Der Handel mit virtuellen Vermögenswerten, die auf vollständige Anonymität ausgelegt sind, ist eine Straftat (Artikel 30(2)); die VARA verbietet Kryptowährungen mit erhöhter Anonymität und damit verbundene Tätigkeiten in Dubai (Vorschrift II.C.1).

Der Bußgeldkatalog der VARA überlässt die Festsetzung von Bußgeldern wegen Verstößen gegen Geldwäsche- und Know-your-Customer-Pflichten dem lokalen und dem Bundesrecht (Verordnung, Anhang 3, Nr. 1). Andere Verstöße gegen das Regelwerk für Compliance und Risikomanagement ziehen für Unternehmen Richtbußgelder von bis zu 50 Millionen AED, 15 Prozent des Jahresumsatzes oder 300 Prozent des erzielten Gewinns oder vermiedenen Verlusts nach sich, je nachdem, welcher Betrag höher ist (Nr. 2), und die VARA kann unmittelbar gegen Geschäftsleiter, verantwortliche Personen (Responsible Individuals) und den MLRO vorgehen (Regel III.J.2; Vorschrift IX.C.3).

Der Kabinettsbeschluss Nr. 71 von 2024 erfasst Unternehmen für virtuelle Vermögenswerte nicht: Seine Geldbußen von 50.000 AED bis 1 Million AED je Verstoß, die das Ministerium bei Wiederholung verdoppeln kann, gelten für bestimmte Nichtfinanzunternehmen (designated businesses), die vom Justiz- und vom Wirtschaftsministerium beaufsichtigt werden (Artikel 2 und 5); dazu kann der Unternehmensdienstleister (Corporate Service Provider) eines Unternehmens gehören.

Wo sich die Texte überschneiden oder noch nicht nachgezogen haben

Die Texte der VARA verweisen noch auf das aufgehobene Gesetz von 2018 und die Durchführungsverordnung von 2019 (Vorschrift VI.A.1; Anhang 4), und ihr Regelwerk für Unternehmen übernimmt die Definition der politisch exponierten Person aus der Verordnung von 2019, die durch Artikel 70 des Kabinettsbeschlusses Nr. 134 von 2025 aufgehoben wurde. Da Anhang 4 auch die jeweils geltende Geldwäschegesetzgebung des Bundes erfasst, lesen wir die Verweise der VARA als Verweise auf die Texte von 2025, einschließlich der Definition der politisch exponierten Person in Artikel 1 der Durchführungsverordnung.

Der AML-Abschnitt der CMA gilt für Unternehmen für virtuelle Vermögenswerte, die „von der Behörde oder von lokalen Stellen“ lizenziert sind (Kapitel 1, Artikel 3), und ihr Schreiben vom April 2026 führt das Regelwerk der VARA unter den Texten auf, die Unternehmen befolgen müssen. Der Kabinettsbeschluss Nr. 112 von 2022 verpflichtet die VARA, mit der Bundesaufsicht auf einen einheitlichen Mechanismus zur Beaufsichtigung ihrer Lizenznehmer hinzuarbeiten (Artikel 3(1)), doch wir haben keinen veröffentlichten Text gefunden, der ihn festlegt oder sagt, wie der AML-Abschnitt der CMA auf diese Lizenznehmer anzuwenden ist. Der AML-Abschnitt der CMA verweist zudem noch auf Sanktionen nach dem aufgehobenen Gesetz von 2018 (Kapitel 12, Artikel 4).

Bei den Beauftragten erlaubt die VARA, dass eine Person zugleich Compliance-Beauftragter und MLRO ist (Regel III.A.4), während der AML-Abschnitt der CMA den Compliance-Beauftragten von anderen operativen Funktionen fernhält (Kapitel 7, Artikel 1(2)), obwohl ihre Regulierung von 2026 die Zusammenlegung von Positionen erlaubt (Artikel 54(4)).

Was ein Unternehmen für virtuelle Vermögenswerte und seine Dienstleister prüfen

Das Schreiben der CMA vom April 2026 an Wertpapierunternehmen und VASPs nennt konkrete Prüfpunkte: eine dokumentierte Gap-Analyse gegenüber den Texten von 2025; einen benannten stellvertretenden MLRO oder eine andere autorisierte Vertretung für Abwesenheiten, wobei ein Stellvertreter in Vollzeit tätig, unabhängig und in den VAE ansässig sein muss; ein Sanktionsscreening, das, wo machbar, auch Wallet-Adressen erfasst; und Blockchain-Analysen, die kalibriert und validiert sind, statt ungeprüft von einem Drittanbieter übernommen zu werden. Die oben dargestellten Regeln fügen einen goAML-Zugang und einen Aufbewahrungsplan hinzu, der sich an der längsten anwendbaren Frist orientiert.

Auf der gesellschaftsrechtlichen Seite führt das Unternehmen sein Gesellschafterregister und aktualisiert seine Basisinformationen und die Angaben zu den wirtschaftlich Berechtigten innerhalb von 15 Arbeitstagen nach einer Änderung, und Nominees legen ihren Auftraggeber offen (Artikel 38 und 39 der Durchführungsverordnung). Ein VARA-Lizenznehmer braucht vor jeder wesentlichen Änderung seiner Eigentümer oder wirtschaftlich Berechtigten die schriftliche Genehmigung der VARA (Regelwerk für Unternehmen, Regel I.A.5). Ein Unternehmensdienstleister, der die Gesellschaft gründet, ihr Büro stellt oder als Company Secretary oder Nominee tätig ist, ist selbst ein bestimmtes Nichtfinanzunternehmen (Artikel 3(5) der Durchführungsverordnung) und führt eigene Sorgfaltsprüfungen zu dem Unternehmen durch.

Bei einem neuen Vorhaben gehört das Geldwäsche-Rahmenwerk in die Lizenzakte: Die VARA erwartet während der Lizenzierung testierte Richtlinien und einen Plan zur Umsetzung der Travel Rule (Regeln III.B.4 und III.G.8).

Dieser Beitrag beschreibt Gesetze der VAE und Vorschriften der Aufsichtsbehörden mit Stand vom 2. November 2026. Er dient der allgemeinen Information und ist keine Rechts- oder Anlageberatung. Polaris ist keine Anwaltskanzlei und weder von der VARA noch von der CMA, der Zentralbank, der DFSA oder der FSRA lizenziert.