VASP – Virtual Asset Service Provider

Ein VASP ist ein gewerbsmässiger Dienstleister für virtuelle Vermögenswerte, der diese für Dritte tauscht, überträgt, verwahrt oder bei deren Erstverkauf mitwirkt. Die Financial Action Task Force (FATF) prägte den Begriff, um ihre Standards gegen Geldwäscherei und Terrorismusfinanzierung auf den Kryptosektor anzuwenden. Nationales Recht macht daraus verbindliche Bewilligungs- und Sorgfaltspflichten.

Hinter der Bezeichnung steht die FATF, das zwischenstaatliche Gremium für Standards gegen Geldwäscherei. Sie erweiterte 2019 ihre Empfehlung 15 und unterstellte Anbieter von Krypto-Dienstleistungen damit erstmals den Vorschriften zur Geldwäschereibekämpfung. Diese Empfehlungen sind jedoch Soft Law. Verbindlich werden sie folglich erst, wenn ein Staat sie in eigenes Recht überführt. Genau dort laufen die Bezeichnungen auseinander: Die Schweiz subsumiert die Tätigkeiten unter den Finanzintermediär nach Geldwäschereigesetz, die EU führt mit MiCA den eigenen Rechtsbegriff CASP.

Die fünf Tätigkeiten, die den VASP-Status auslösen

Ob ein Unternehmen als VASP gilt, entscheidet die Tätigkeit und nicht die Technologie. Der Leitfaden der FATF zum risikobasierten Ansatz nennt in der Fassung vom Oktober 2021 fünf Kategorien, von denen eine einzige genügt. Erfasst sind der Tausch virtueller Vermögenswerte gegen Fiatgeld, der Tausch zwischen verschiedenen virtuellen Vermögenswerten sowie deren Übertragung. Ebenso fallen die Verwahrung und Verwaltung solcher Werte darunter, dazu die Instrumente, die Kontrolle über sie verschaffen. Die fünfte Kategorie betrifft schliesslich Finanzdienstleistungen rund um das Angebot oder den Verkauf eines Vermögenswerts durch dessen Emittenten.

Nicht jede Berührung mit Kryptowerten löst den Status allerdings aus. Die Tätigkeit muss gewerbsmässig erfolgen und sich an Dritte richten. Auf die Rechtsform kommt es ebenfalls nicht an, denn die FATF erfasst natürliche wie juristische Personen. Wer ausschliesslich eigene Bestände hält oder umschichtet, gilt deshalb nicht als VASP.

Welche Daten ein VASP bei Transfers übermitteln muss

Neben der Identifikation der Vertragspartei trifft einen VASP eine zweite, transferbezogene Pflicht. Die Travel Rule aus Empfehlung 16 verlangt, dass Angaben zu Auftraggeber und Begünstigtem den Transfer begleiten. Massgeblich ist ein Schwellenwert von 1'000 USD oder EUR. Anders als die einmalige Prüfung bei Aufnahme der Geschäftsbeziehung fällt diese Pflicht bei jedem einzelnen Transfer oberhalb der Schwelle an.

Später revidierte die FATF diese Empfehlung an ihrem Plenum im Juni 2025. Bei grenzüberschreitenden Zahlungen oberhalb der Schwelle verlangt der Standard Name, Adresse und Geburtsdatum des Auftraggebers. Zwischen Regel und Vollzug klafft allerdings eine Lücke. Nach dem Targeted Update der FATF hatte eine Mehrheit der ausgewerteten Jurisdiktionen eine Travel-Rule-Gesetzgebung erlassen. Aufsichts- oder Durchsetzungsmassnahmen gegen VASP ergriff davon jedoch nur eine Minderheit (Stand Juli 2024).

Braucht ein VASP in der Schweiz eine FINMA-Bewilligung

Das Schweizer Aufsichtsrecht kennt den Begriff VASP nicht. Die FINMA hielt am 26. August 2019 dennoch fest, dass Anbieter blockchainbasierter Zahlungsdienstleistungen als Finanzintermediäre nach Geldwäschereigesetz gelten. In derselben Mitteilung nannte die Aufsicht die Krypto-Banken SEBA Crypto AG und Sygnum AG. Wer solche Dienstleistungen gewerbsmässig erbringt, braucht folglich den Anschluss an eine anerkannte Selbstregulierungsorganisation oder eine Bewilligung der Aufsichtsbehörde. Insgesamt stehen drei Wege offen.

Die Obergrenze der FinTech-Bewilligung bezieht sich auf entgegengenommene Publikumseinlagen, kryptobasierte Vermögenswerte eingeschlossen. Im Konkursfall geniessen Kundenvermögen hingegen weder ein Privileg noch den Schutz der Einlagensicherung. Wer entgegengenommene Gelder anlegen oder verzinsen will, fällt somit aus diesem Rahmen heraus.

Ab 1'000 CHF greift die Identifikationspflicht

Wer in der Schweiz die Tätigkeiten eines VASP ausübt, unterliegt als Finanzintermediär tiefen Schwellenwerten. Nach Art. 51a GwV-FINMA muss er die Vertragspartei identifizieren, sobald eine Transaktion mit virtueller Währung 1'000 CHF erreicht oder übersteigt. Mehrere miteinander verbundene Transaktionen innerhalb von 30 Tagen rechnet die Verordnung ausserdem zusammen. Bei Bargeschäften liegt die Schwelle vergleichsweise hoch, nämlich bei 15'000 CHF. Die Kundenidentifikation greift im Kryptobereich also erheblich früher als am Bankschalter.

Ferner stützt die Aufsicht die Travel Rule auf Art. 10 GwV-FINMA, der Angaben zu Auftraggeber und Begünstigtem bei Zahlungsaufträgen verlangt. Anders als der FATF-Standard sieht diese Bestimmung keine Ausnahme für Zahlungen vor, an denen Wallets nicht beaufsichtigter Anbieter beteiligt sind. Solange ein Institut solche Angaben weder erhält noch senden kann, greift eine engere Regel. Die Aufsichtsmitteilung 02/2019 erlaubt den Verkehr mit externen Wallets dann nur, wenn diese eigenen Kunden des Instituts gehören. Deren Verfügungsmacht über die selbstverwahrte Wallet hat das Institut durch geeignete technische Massnahmen zu überprüfen. Eine Überweisung an die Wallet eines Dritten bleibt möglich, sofern das Institut diesen zuvor wie einen eigenen Kunden identifiziert, den wirtschaftlich Berechtigten festgestellt und dieselbe Prüfung vorgenommen hat.

Warum die EU von CASP spricht und nicht von VASP

Die EU hat mit MiCA einen eigenen Rechtsbegriff geschaffen. Art. 3 Abs. 1 Nr. 15 der Verordnung (EU) 2023/1114 definiert den Crypto-Asset Service Provider als Unternehmen, dessen Geschäft die gewerbsmässige Erbringung von Krypto-Dienstleistungen für Kunden ist. Die folgende Ziffer listet zehn solcher Dienstleistungen auf, darunter Verwahrung, Betrieb einer Handelsplattform, Umtausch, Auftragsausführung, Portfolioverwaltung und Beratung. Mit dem VASP-Katalog der FATF überschneidet sich das stark, deckungsgleich ist es nicht. Ein Unternehmen kann somit nach FATF-Terminologie ein VASP sein und nach Unionsrecht zugleich ein CASP.

Der eigentliche Unterschied liegt in der Rechtsnatur. VASP bezeichnet einen FATF-Standard, der erst über nationale Gesetzgebung bindet. CASP ist hingegen unmittelbar geltendes Unionsrecht mit eigener Bewilligungspflicht, über die eine nationale Behörde entscheidet. Diese Pflicht gilt EU-weit seit dem 30. Dezember 2024. Unternehmen, die zuvor rechtmässig nach nationalem Recht tätig waren, durften längstens bis zum 1. Juli 2026 oder bis zur Entscheidung über ihre Bewilligung unter Übergangsrecht weiterarbeiten. Einzelne Mitgliedstaaten wie Deutschland verkürzten diese Frist national. In der Schweiz existiert schliesslich weder VASP noch CASP als Rechtsbegriff, dort greift das Geldwäschereigesetz.