Hvidvaskloven og krypto: Hvorfor børsen skal kende dig

Hvad er hvidvaskloven?

Hvidvaskloven hedder officielt lov om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme. Den bærer lovnummer 651 fra den 8. juni 2017 og er siden ændret adskillige gange. Loven er Danmarks nationale gennemførelse af EU's AML-direktiver — primært det fjerde (AMLD4, 2015) og femte (AMLD5, 2018) pengevaskedirektiv.

AML er en forkortelse for anti-money laundering, på dansk forebyggelse af hvidvask. Hvidvask er den kriminelle teknik, hvor udbyttet fra strafbar virksomhed gøres til tilsyneladende lovlige penge ved at sende dem igennem legitime finansielle kanaler. Terrorfinansiering handler om at flytte penge til finansiering af terroristorganisationer og -handlinger.

Loven gælder for en lang række finansielle og ikke-finansielle virksomheder: banker, realkreditinstitutter, forsikringsselskaber, investeringsforeninger, ejendomsmæglere, advokater, revisorer og — siden 2017 — udtrykkeligt udbydere af kryptotjenester. Disse betegnes som forpligtede enheder i lovens § 1, stk. 1, nr. 20.

Kryptoudbydere er eksplicit nævnt

Inden AMLD5 var kryptoudbydere ikke direkte dækket af AML-lovgivningen i de fleste EU-lande. Det ændrede AMLD5, som fra 2019 krævede, at vekslingsplatforme og custody-walletudbydere registreres og overholder de samme grundlæggende AML-krav som banker.

I Danmark er kravet implementeret via ændringer til hvidvaskloven. En kryptoudbyder, der henvender sig til danske kunder, skal enten være registreret hos Finanstilsynet eller — efter MiCA er fuldt implementeret — have en CASP-tilladelse (Crypto-Asset Service Provider).

Vil du forstå det bredere regulatoriske landskab? Læs vores guide til MiCA og EU-regulering af krypto og til CASP-tilladelse under MiCA.

Lovens formål

Hvidvasklovens primære formål er at forhindre, at det finansielle system — herunder kryptobørser — bruges til at hvide sorte penge eller til at finansiere terrorisme. For krypto er risikoen særlig tydelig, fordi blockchain-transaktioner historisk set har haft et vis element af pseudonymitet. Reglerne er designet til at bryde den anonymitet på udvekslingspunkterne.

For dig som lovlydig investor er reglerne ikke bare en byrde. De er en sikkerhed. De gør det sværere for kriminelle at anvende de samme platforme og medvirker til at legitimere kryptovaluta som aktivklasse. En udbyder, der slet ikke kontrollerer din identitet, er i strid med loven — og det er et klart advarselstegn.

AMLD5 og AMLD6 — de europæiske AML-direktiver

EU's AML-regulering er opbygget som en serie direktiver — fra AMLD1 (1991) til AMLD6 (2018). De seneste to — AMLD5 og AMLD6 — er de mest relevante for kryptobrugere.

AMLD5 (EU-direktiv 2018/843): krypto ind i folden

AMLD5 trådte i kraft i januar 2020. Det var det første direktiv, der eksplicit nævnte kryptoudbydere. Direktivet udvidede listen over forpligtede enheder til at inkludere:

• Vekslingsplatforme (crypto exchanges)
• Udbydere af custodial krypto-wallets

AMLD5 pålagde disse udbydere at registrere sig hos nationale finanstilsyn og gennemføre kundekendskabsprocedurer. Det betød, at kryptobørser for første gang på EU-plan lovmæssigt ikke kunne operere uden at kende deres kunder.

AMLD6 (EU-direktiv 2018/1673): strengere straf og bredere definition

AMLD6 fokuserer ikke primært på kundekendskab, men på selve hvidvasknormen. Det udvidede definitionen af hvidvask til at dække 22 prædikatsforbrydelser, herunder cyberkriminalitet, skatteunddragelse og miljøkriminalitet. Det betød, at kriminalitet begået med krypto som finansieringskanal nu tydeligere falder under hvidvaskbegreb.

AMLD6 skærpede desuden strafferammerne markant. Minimumsstraffen for hvidvask blev sat til 4 års fængsel i de alvorligste sager. Det sendte et klart signal om, at EU tog kriminalitetens brug af krypto alvorligt.

Udover AMLD5 og AMLD6 er der med AML-pakken fra 2024 vedtaget et nyt EU AML-forordningssæt, som vil etablere en central EU-AML-myndighed (AMLA). Denne myndighed vil fra ca. 2027 have direkte tilsynskompetence over de største kryptoudbydere i EU.

KYC og CDD: kundekendskabsprocedurer i praksis

KYC (Know Your Customer) og CDD (Customer Due Diligence) bruges i daglig tale synonymt. I hvidvasklovens terminologi er CDD det juridisk præcise begreb. Det dækker tre hovedelementer: identifikation, legitimation og forståelse af kundeforholdets formål. Desuden indeholder CDD et krav om løbende overvågning.

De tre hovedelementer i CDD

1. Identifikation: Børsen indsamler grundlæggende oplysninger om dig. Det er typisk fuldt navn, fødselsdato, nationalitet og bopælsadresse. Disse oplysninger er obligatoriske, inden du kan handle.

2. Legitimation: Du skal dokumentere din identitet med gyldige dokumenter. Standarden er billedlegitimation — pas, nationalt kørekort eller EU-identitetskort. På danske platforme er MitID et anerkendt og hyppigt anvendt alternativ, fordi det er direkte koblet til CPR-registeret og dermed verificerer identitet og adresse på én gang.

3. Formål med kundeforholdet: Børsen skal forstå, hvad du bruger kontoen til. Er det langsigtet investering? Aktiv handel? Professionel aktivitet? Et udsagn om formål indgår i børsens risikovurdering af dig som kunde.

Herudover er der en løbende overvågningsforpligtelse. Børsen skal holde sine kundeoplysninger opdaterede og reagere, hvis aktivitetsmønstre afviger fra det forventede. Det sker via automatiserede systemer, der analyserer transaktioner.

Risikobaseret tilgang

Hvidvaskloven bygger på en risikobaseret tilgang. Det betyder, at omfanget af kundekendskabsprocedurerne skaleres med risikoniveauet. En lavrisikokunde med lav omsætning skal gennemgå et lettere forløb end en højrisikokunde med stor omsætning og kompleks struktur.

Risikovurderingen foretages af børsen selv, men skal baseres på de kriterier, som Finanstilsynets vejledning og EU's AML-retningslinjer angiver. Faktorer som kundeland, betalingsmetode, transaktionsvolumen og produkttype indgår i vurderingen.

Læs mere om hvad kryptovaluta er og om, hvorfor regulering er nødvendig i praksis.

Hvad børsen må og skal bede om

Mange kryptobrugere undrer sig over, hvad børsen har lov til at spørge om. Svaret er: alt hvad der er nødvendigt for at opfylde hvidvasklovens krav. Loven foreskriver minimum — børsen kan gå videre, hvis dens risikovurdering tilsiger det.

Standarddokumentation

Politisk eksponerede personer (PEP)

Hvidvaskloven indeholder særregler for PEP'er — Politically Exposed Persons. Det er personer, der beklæder eller for nylig har beklædt en fremtrædende offentlig funktion, fx minister, parlamentsmedlem, dommer, militær officer eller ambassadør. Også nærtståede familiemedlemmer og kendte forretningspartnere er underlagt skærpede krav.

Hvad børsen ikke må

Børsen må ikke anmode om oplysninger, der ikke er nødvendige for AML-formål, og den er underlagt GDPR's regler om dataminimering. De indsamlede oplysninger må kun bruges til hvidvaskforebyggelse og de formål, du har samtykket til.

Oplysningerne opbevares typisk i 5 år efter kundeforholdets ophør, jf. hvidvaskloven. Derefter skal de som udgangspunkt slettes.

KYC-niveauer og interaktiv beregner

Hvidvaskloven opererer med en risikobaseret tilgang, hvor dokumentationskravene skaleres med transaktionsvolumen og risikoprofil. I praksis skelnes der mellem tre niveauer. Brug beregneren nedenfor til at se, hvilket niveau der typisk gælder for dit forventede månedlige handelsbeløb.

Oversigt over KYC-niveauer

Mistænkelige transaktioner og underretningspligten

Hvidvaskloven pålægger kryptoudbydere en underretningspligt. Det vil sige, at børsen skal underrette Hvidvasksekretariatet (SØIK), hvis den har begrundet mistanke om, at en transaktion har forbindelse til hvidvask eller terrorfinansiering. Underretningspligten er et aktivt krav — børsen kan ikke blot ignorere mistanke.

Hvad udløser en underretning?

Der er ikke en enkelt transaktion eller et bestemt beloeb, der automatisk udløser en underretning. Det er det samlede billede og konteksten, der tæller. Typiske faktorer, der kan udløse mistanke, er:

• Store pludselige indsætninger, der ikke matcher kundens normale aktivitetsprofil
• Hyppige overførsler til wallets tilknyttet mørke netværk (darknet) eller sanktionerede adresser
• Transaktioner til eller fra lande med høj AML-risikovurdering (fx lande på FATF's gråe eller sorte lister)
• Usædvanlige transaktionsmønstre — fx mange hurtige køb-og-salg-rundes der ligner layering
• Brug af mixing- eller tumbling-tjenester, der sløjer transaktionssporet
• Adfærd der klart ikke matcher kundens oplyste formål og profil

Tysthedspligten — forbud mod tipping off

Hvidvaskloven indeholder et eksplicit forbud mod, at børsen orienterer kunden om, at der er sket en underretning. Det kaldes tysthedspligten eller forbuddet mod tipping off. Formålet er at forhindre, at mistænkte kan rydde op i bevismateriale eller overføre midler, inden myndighederne handler.

Hvad er Hvidvasksekretariatet?

Hvidvasksekretariatet (formelt: SØIK — Statsadvokaten for Særlig Kriminalitet) er den nationale finansielle efterretningsenhed (Financial Intelligence Unit — FIU) i Danmark. Det er her, underretninger fra kryptobørser og andre forpligtede enheder modtages og analyseres.

Hvidvasksekretariatet modtager mange tusinde underretninger om året. Den store majoritet af underretninger fører ikke til videre efterforskning. Men systemet er afgørende for, at myndighederne kan identificere mønstre og fange de sager, der faktisk involverer kriminalitet.

Travel Rule og Transfer of Funds Regulation

Travel Rule er en FATF-anbefaling fra 1996, der i årevis har gjaldt for traditionelle bankoverførsler. Reglen kræver, at identitetsoplysninger om afsender og modtager følger med betalingen. I 2024 trådte EU's Transfer of Funds Regulation (TFR) i kraft og udvidede Travel Rule til at gælde for kryptotransaktioner i hele EU.

Hvad kræver Travel Rule konkret?

Når en reguleret kryptobørs overfører krypto til en anden reguleret børs, og beløbet overstiger 1.000 EUR, skal afsenderbørsen sende følgende oplysninger til modtagerbørsen:

• Afsenderens fulde navn
• Afsenderens blockchain-adresse
• Afsenderens kontoadresse (fysisk adresse, konto-ID eller fødselsdato + fødested)
• Modtagerens fulde navn
• Modtagerens blockchain-adresse

Under 1.000 EUR gælder Travel Rule som udgangspunkt ikke, men børsen skal stadig indsamle og opbevare visse basisoplysninger om overførslen.

Overførsler til selvhostede wallets

For dig som bruger mærker du Travel Rule typisk som et ekstra trin, når du overfører beløb over ca. 7.000–10.000 kr. til en ekstern wallet eller en anden børs. Børsen beder om at bekræfte, hvem modtageren er, og/eller at du ejer den modtagende wallet. Det er en teknisk og administrativ udfordring for markedet, men branchen har fundet løsninger via protokoller som TRUST, OpenVASP og VerifyVASP.

Læs vores guide til kryptowalletter for at forstå forskellen på custodial og non-custodial wallets, og hvad det betyder for Travel Rule.

Finanstilsynets tilsyn med kryptoudbydere

Finanstilsynet er den danske finansielle tilsynsmyndighed og fører tilsyn med kryptoudbydere under hvidvaskloven. Tilsynet kan inspicere virksomheder, give påbud, udstede bøder og i alvorlige tilfælde inddrage en udbyders registrering.

Registreringspligten

For at drive virksomhed med kryptotjenester i Danmark skal udbyderen registrere sig hos Finanstilsynet. Registreringen er ikke en fuld tilladelse som en banklicens, men det er en bekræftelse på, at udbyderen opfylder de grundlæggende krav i hvidvaskloven.

Med MiCA's fulde implementering erstatter CASP-tilladelsen den simple registrering for de fleste typer kryptotjenester. CASP-tilladelsen er en mere omfattende godkendelse, der stiller krav til kapital, ledelseskvalitet, IT-systemer og — naturligvis — AML-procedurer.

Finanstilsynets advarselsliste

Finanstilsynet publicerer løbende advarsler mod virksomheder, der mistænkes for at udbyde finansielle ydelser uden tilladelse. Listen indeholder kryptobørser og -platforme, der henvender sig til danske kunder uden at have den nødvendige registrering.

Kontrollér altid en udbyders status i Finanstilsynets register — eller læs vores guide til Finanstilsynets advarselsliste for at lære, hvordan du bruger listen i praksis.

Konsekvenser for børser, der ikke overholder reglerne

Finanstilsynet kan ved overtrædelse af hvidvaskloven:

• Give påbud om at bringe forholdene i orden
• Udstede administrative bøder (op til det større af 5 mio. EUR eller 10 % af den årlige omsætning)
• Offentliggøre sanktioneringen
• Forbyde direktøren og bestyrelsen at varetage ledelseshverv i sektoren
• Inddrage registreringen og dermed forbyde videre drift

Disse sanktioner viser, at hvidvaskreglerne ikke er tomme ord. Børser der forsømmer KYC eller undlader at underrette ved mistanke, risikerer alvorlige konsekvenser — og det beskytter dig som kunde.

Se vores oversigt over CASP-godkendte kryptobørser i Danmark for at se, hvilke udbydere der er godkendt.

Praktiske konsekvenser for dig som investor

Hvidvaskloven har tre direkte, mærkbare konsekvenser for dig som kryptoinvestor: du skal dokumentere din identitet, din aktivitet overvåges, og i sjældne tilfælde kan din konto spærres. For langt de fleste investorer er KYC ved oprettelse det eneste, de mærker.

ID-kontrol er obligatorisk og uomgåelig

Alle lovlige kryptobørser med adgang til danske kunder skal gennemføre KYC. Der er ingen vej uden om. En børs, der tillader store handler fuldstændigt anonymt, overholder ikke loven — og det er et advarselsegn, der bør sende dig videre.

KYC gennemføres normalt ét enkelt gang ved oprettelsen. De fleste platforme bruger automatiserede systemer, der godkender dit pas eller bekræfter dit MitID inden for minutter. Manuel behandling kan forekomme ved store beløb eller komplekse situationer — typisk 1–5 arbejdsdage.

Løbende overvågning i baggrunden

Transaktionsovervågning foregår automatisk og stille i baggrunden. Du mærker den ikke ved normale handler. Systemet er designet til at fange kriminelle — ikke til at chikanere lovlydige investorer.

Hvis overvågningssystemet flagger en transaktion, kan børsen bede om en forklaring. Det er helt legitimt at svare — og det er i din interesse at gøre det ærligt og dokumenteret. En investorer der kan forklare sin aktivitet og dokumentere sin kildeformue, løber normalt ingen risiko.

Kontospærring og kontofrysning

En kontospærring er mulig, men sjælden for lovlydige brugere. Den kan udløses af to ting: børsens egen mistanke, eller en myndighedsordre. En frysning baseret på myndigheders ordre kræver typisk en domstolskendelse.

Tre råd til at undgå problemer

• Brug kun regulerede udbydere. Tjek altid Finanstilsynets register, inden du opretter en konto.
• Hold dine oplysninger opdaterede. Skift af adresse, navn eller statsborgerskab bør meldes til børsen.
• Gem dokumentation. Behold kvitteringer for større køb og salg, særlig for midler der stammer fra salg af aktiver, arv eller lignende.

For at beskytte dine aktiver yderligere, læs vores guide til beskyttelse af din krypto.

DAC-8 og automatisk skatteindberetning fra 2026

DAC-8 er EU-direktiv 2023/2226. Det er en udvidelse af EU's Administrative Cooperation Directive (DAC) og kræver, at udbydere af kryptotjenester (CASP'er) fra 2026 automatisk indberetter oplysninger om EU-borgeres kryptohandler til skattemyndighederne. Oplysningerne udveksles derefter automatisk på tværs af EU-lande.

DAC-8 og hvidvaskloven er to separate regelsæt med forskellige formål. Men de hænger tæt sammen: KYC-infrastrukturen, som hvidvaskloven kræver, er præcist det fundament, DAC-8 bygger ovenpå. Fordi børsen allerede kender din identitet og overvåger dine transaktioner, kan den uden stor ekstra indsats indberette de relevante handelsdata.

Hvad indberettes til Skattestyrelsen?

Under DAC-8 skal børsen indberette følgende oplysninger om dig:

• Fuldt navn, adresse, CPR-nummer / skattenummer
• Antal gennemførte køb og salg i kalenderåret
• Samlet salgsprovenu i kalenderåret (i DKK eller EUR, konverteret fra kryptoværdien på handelstidspunktet)
• Samlet modtaget vederlag fra staking og lending
• Oplysninger om overførsler til og fra selvhostede wallets over en vis grænseværdi

Disse oplysninger sendes til Skattestyrelsen, som deler dem med skattemyndighederne i andre EU-lande, hvis du er skattepligtig der.

Hvidvaskloven vs. DAC-8: de centrale forskelle

Dine selvangivelsespligter ændres ikke

DAC-8 er et kontrolredskab for myndighederne — ikke en automatisk skatteopgørelse. Du har fortsat selv pligt til at opgøre og selvangive gevinster og tab fra kryptovaluta. Skattemyndighederne vil modtage data fra børsen, men de har ikke en færdig FIFO-beregning af din skattepligtige avance. Det ansvar er dit.

Læs vores guide til kryptoskat i Danmark for at forstå, hvad du skal selvangive, og til DAC-8, privatliv og dine data for de privatlivsretlige aspekter.

MiCA og hvidvaskloven: to regelsæt i samspil

MiCA — Markets in Crypto-Assets Regulation (EU 2023/1114) — er EU's overordnede ramme for regulering af kryptoaktiver og udbydere af kryptotjenester. MiCA handler primært om markedsadgang, drift og investorbeskyttelse. Hvidvaskloven handler om forebyggelse af kriminalitet. De to regelsæt supplerer hinanden og gælder sideløbende.

CASP-tilladelsen og AML-forpligtelserne

En udbyder, der opnår CASP-tilladelse (Crypto-Asset Service Provider) under MiCA, er automatisk underlagt AML-reglerne. MiCA stiller krav om, at CASP'en har robuste AML-procedurer på plads. Tilladelsen gives ikke til udbydere, der ikke kan dokumentere tilfredsstillende hvidvaskprocedurer.

MiCA indfører et EU-dækkende pas: en CASP med tilladelse i ét EU-land kan udbyde sine tjenester i hele EU uden at søge separat tilladelse i hvert land. Det forenkler markedsadgangen, men det betyder ikke, at hvidvaskkravene er lempede. Udbydere skal overholde reglerne i alle lande, de opererer i.

DeFi og hvidvaskloven

Decentraliserede finansielle protokoller (DeFi) befinder sig i en juridisk gråzone ift. hvidvaskloven. Protokoller uden en central operatør har ingen forpligtet enhed til at gennemføre KYC. EU's AML-pakke fra 2024 overvejer, om og hvordan DeFi-protokoller skal reguleres, men der er endnu ikke vedtaget specifikke regler.

Som bruger bærer du selv risikoen, når du anvender uregulerede DeFi-protokoller. Myndighederne kan i princippet se blockchain-spor fra dine DeFi-transaktioner, og du er fortsat skattepligtig af gevinster herfra. Læs vores guide til er DeFi reguleret under MiCA.

Spørgsmål og svar (FAQ)

Nedenfor finder du svar på de hyppigste spørgsmål om hvidvaskloven og dens praktiske betydning for kryptoinvestorer i Danmark.

Har du spørgsmål om din konkrete skattemæssige situation? Læs vores guide til kryptoskat i Danmark eller se, om du kan finde svar i vores artikeloversigt om udenlandsk kryptobørs og skat.

Kilder og videre læsning

Artiklens indhold er baseret på følgende officielle og anerkendte kilder. Links åbner i nyt faneblad.

Relaterede guides på KryptoInvestering.dk

• MiCA og EU-regulering af krypto — hvad er MiCA, og hvad kræver det?
• CASP-tilladelse under MiCA — hvad kræves af en lovlig udbyder?
• CASP-godkendte kryptobørser i Danmark — oversigt og tjekliste
• Finanstilsynets advarselsliste — hvad er den, og hvordan bruger du den?
• Kryptoskat i Danmark — gevinster, tab og selvangivelse forklaret
• DAC-8 og privatlivet — hvad indberettes, og hvad betyder det for dig?
• Udenlandsk kryptobørs og skat — hvad skal du være opmærksom på?
• Beskyt din krypto — wallets, sikkerhed og bedste praksis
• Kryptowalletten — custodial vs. non-custodial, og hvad det betyder
• Klage over en kryptobørs — hvad er dine muligheder?
• Er DeFi reguleret under MiCA? — hvad gælder for decentraliserede protokoller?
• Hvad er krypto? — en introduktion til kryptovaluta og blockchain