Elliptic Typologien-Bericht: Stablecoin-AML und Kontrollen in der Krypto-Buchhaltung

Der im September 2026 veröffentlichte Typologien-Bericht von Elliptic markiert einen Compliance-Wendepunkt, den Wirtschaftsprüfungsgesellschaften, CFOs und Digital-Asset-Teams nicht länger als Hintergrundlektüre abtun können. Der Bericht zeichnet nach, wie sich die mit Kryptoassets verbundenen Risiken der Finanzkriminalität seit der letzten Ausgabe entwickelt haben, wobei auf Dollar lautende Stablecoins als der derzeit dringlichste Bereich für Sanktionsrisiken, Sorgfaltspflichten der Emittenten und GENIUS-Act-Bereitschaft hervorstechen. Für jedes Unternehmen, das auf Krypto-Buchhaltungssoftware angewiesen ist, um digitale Vermögenspositionen zu verwalten und darüber Bericht zu erstatten, sind die praktischen Auswirkungen weitreichend.

Warum Stablecoins jetzt an vorderster Compliance-Front stehen

Dollar-Stablecoins wurden einst als relativ risikoarme Schicht innerhalb von Krypto-Portfolios betrachtet – als Ort, um Werte zu parken, Geschäfte abzuwickeln oder Gelder ohne die Volatilität nativer Token über Chains hinweg zu bewegen. Diese Wahrnehmung hat sich stark gewandelt. Der Bericht von Elliptic identifiziert Stablecoin-Emittenten und die Institute, die ihre Token handhaben, als Träger eines erheblichen Sanktionsrisikos, gerade weil diese Instrumente frei über Blockchains zirkulieren, die sanktionierte Jurisdiktionen berühren können.

Das Problem des Sanktionsrisikos

Wenn ein Stablecoin auf mehreren Chains zirkuliert, wird die Nachverfolgung der vollständigen Historie der Exposure einer Wallet wirklich schwierig. Ein Unternehmen kann eine Stablecoin-Zahlung annehmen oder ein Stablecoin-Guthaben halten, ohne zu wissen, ob der Token auf seinem On-Chain-Weg zuvor durch eine sanktionierte Einheit, einen markierten Mixer oder eine OFAC-Beschränkungen unterliegende Jurisdiktion gelaufen ist. Diese Unwissenheit ist nach US-Sanktionsrecht keine rechtliche Verteidigung, das in vielen Fällen eine Strict Liability vorsieht. Der Bericht von Elliptic spricht dieses Exposure-Risiko ausdrücklich an und drängt Emittenten und Verarbeiter, Kontrollen aufzubauen, die Cross-Chain-Stablecoin-Aktivitäten erkennen und Verbindungen zu sanktionierten Jurisdiktionen kennzeichnen können, bevor die Abwicklung erfolgt und nicht erst danach.

Die buchhalterische Implikation ist direkt: Wenn Ihr Unternehmen Stablecoin-Eingänge als Umsatz erfasst oder als liquide Mittel in der Bilanz ausweist, wirkt sich der zugrunde liegende Sanktionsstatus dieser Token darauf aus, ob die Transaktion rechtlich Bestand haben kann. Ein Stablecoin-Eingang, der später mit einer sanktionierten Gegenpartei in Verbindung gebracht wird, ist nicht nur ein Compliance-Problem – es stellt sich die Frage, ob der Vermögenswert jemals hätte erfasst werden dürfen und ob eine rückwirkende Ausbuchung oder Offenlegung erforderlich ist.

Lücken bei der Cross-Chain-Sichtbarkeit

Die Herausforderung wird durch die Multi-Chain-Natur moderner Stablecoin-Aktivitäten noch verstärkt. Ein einzelner dollar-pegged Token kann als native Emission auf einer Chain und als gebrückte Repräsentation auf mehreren anderen existieren. Jeder Sprung über eine Brücke oder ein Cross-Chain-Protokoll erzeugt eine neue Transaktionsspur, die unabhängig geprüft werden muss. Die meisten Legacy-Compliance-Tools und auch viele Krypto-Buchhaltungslösungen der ersten Generation wurden nicht dafür gebaut, einem Asset über Chains hinweg in einem einzigen Workflow zu folgen. Der Bericht weist auf diese Lücke als Bereich hin, in dem Unternehmen in Tools investieren müssen, die Cross-Chain-Exposure ganzheitlich abbilden statt Chain für Chain.

GENIUS Act: erlaubte vs. nicht erlaubte Stablecoins

Die Verabschiedung des GENIUS Act führt einen binären Compliance-Test ein, den jede Bank und jedes regulierte Institut, das mit Stablecoins zu tun hat, nun anwenden muss. Das Rahmenwerk schafft eine Klasse erlaubter Stablecoins – jener, die unter einem konformen bundes- oder einzelstaatlichen Lizenzregime ausgegeben werden – und behandelt jeden anderen Stablecoin als nicht erlaubt. Die Annahme eines nicht erlaubten Stablecoins, als wäre er erlaubt, wird im Bericht als Compliance-Verstoß bezeichnet, Punkt.

Was Banken nach dem neuen Rahmenwerk tun müssen

Die praktische Anforderung ist dreifach. Erstens müssen Institute identifizieren, welche im Umlauf befindlichen Stablecoins nach den Kriterien des GENIUS Act als erlaubt gelten. Zweitens müssen sie eingehende und ausgehende Stablecoin-Ströme prüfen, um Exposure gegenüber nicht erlaubten Token zu erkennen – einschließlich Fällen, in denen ein erlaubter Stablecoin irgendwo vorgelagert gegen einen nicht erlaubten getauscht wurde. Drittens müssen sie interne Kontrollen aufbauen, die auf jeden Tokentyp die richtige regulatorische Behandlung anwenden, mit dokumentierten Verfahren, die Prüfern vorgelegt werden können.

Dies ist keine einmalige Klassifizierungsübung. Der Lizenzstatus von Stablecoin-Emittenten kann sich ändern – ein Unternehmen, das seine Lizenz verliert oder nie eine erhalten hat, verschiebt seinen Token über Nacht von potenziell erlaubt zu definitiv nicht erlaubt. Die Kontrollen müssen daher dynamisch sein, mit regelmäßiger erneuter Prüfung des Emittentenstatus, die fest im Compliance-Kalender verankert ist.

Sorgfaltspflichten der Emittenten als Daueraufgabe

Über die binäre Unterscheidung erlaubt/nicht erlaubt hinaus betrachtet der Bericht die Sorgfaltspflichten der Emittenten als fortlaufende Verpflichtung und nicht als einmaligen Onboarding-Schritt. Lizenzierten Stablecoin-Emittenten müssen selbst AML-, Sanktions- und Risikoanforderungen erfüllen – aber eine Bank oder Börse, die diese Token handhabt, kann diese Verpflichtung nicht einfach nach oben delegieren. Das Halten eines Stablecoins, der von einem Unternehmen ausgegeben wurde, das anschließend seine eigenen AML-Anforderungen nicht erfüllt, erzeugt eine nachgelagerte Haftung für jedes Institut in der Kette. Elliptics Position ist, dass Unternehmen eine kontinuierliche Überwachung des Emittentenstatus benötigen, nicht nur punktuelle Prüfungen zum Zeitpunkt der erstmaligen Aufnahme eines Stablecoins in eine Liste unterstützter Assets.

Für Buchhaltungsteams entsteht dadurch eine neue Kategorie von Offenlegungsrisiken. Wenn Ihr Institut Stablecoins hält, die von einem Unternehmen unter regulatorischer Untersuchung oder Sanktion ausgegeben wurden, müssen der beizulegende Zeitwert und die Werthaltigkeit dieses Vermögenswerts möglicherweise neu bewertet werden, und die Offenlegung der Eventualverbindlichkeit kann nach den geltenden Rechnungslegungsstandards erforderlich sein.

Risiko der Finanzkriminalität: eine sich entwickelnde Bedrohungslandschaft

Über Stablecoins hinaus beschreibt der Bericht die breitere Landschaft der Finanzkriminalitätsrisiken als eine in ständiger Bewegung. Compliance-Teams, die ihre Workflows um die Bedrohungstypologien von 2021 oder 2022 herum aufgebaut haben, arbeiten per Definition mit einem veralteten Bild. Elliptic identifiziert die Kombination aus regulatorischer Beschleunigung und Bedrohungsentwicklung als zentralen Druck auf die Compliance-Funktionen – eine zweiseitige Herausforderung, die sowohl Regelkonformitäts-Agilität als auch echte investigative Fähigkeiten erfordert.

Auswirkungen auf die Personalausstattung von Compliance-Teams

Der Bericht richtet sich ausdrücklich an Analysten und Ermittler für Finanzkriminalität, nicht nur an leitende Compliance-Beauftragte. Diese Ausrichtung spiegelt eine Realität wider, mit der viele Unternehmen noch ringen: das Volumen und die Komplexität kryptobezogener verdächtiger Aktivitäten erfordern inzwischen spezialisierte analytische Kapazitäten auf Teamebene, nicht nur eine Freigabe auf Richtlinienebene an der Spitze. Unternehmen, die sich auf generalistische AML-Mitarbeiter verlassen haben, um Krypto-Fälle zu bearbeiten, sind zunehmend exponiert, da die Typologien diverser werden.

Für Buchhaltungs- und Berufsdienstleistungsunternehmen, die Krypto-Unternehmen beraten, hat dies eine Personalimplikation. Prüfungs- und Assurance-Aufträge, die digitale Vermögenswerte berühren, erfordern nun Mitarbeiter, die On-Chain-Transaktionsanalysen, die Mechanik von Cross-Chain-Brücken und die spezifischen Risikoindikatoren verstehen, die Elliptic und ähnliche Ermittler kennzeichnen. Diese Fähigkeitslücke wächst schneller, als Ausbildungsprogramme sie füllen.

Buchhaltungs- und Berichtskontrollen, die sich aus diesem Bericht ergeben

Die Übersetzung der Compliance-Erkenntnisse des Berichts in die Buchhaltungspraxis erfordert, dass Unternehmen drei miteinander verbundene Kontrollbereiche ansprechen.

Klassifizierung auf Transaktionsebene in Software für die digitale Vermögensbuchhaltung

Jeder Stablecoin-Eingang, jede Übertragung und jede Abwicklung muss eine Klassifizierung tragen, die mindestens den Emittenten, die Chain, auf der der Token empfangen wurde, und das Ergebnis der Sanktionsprüfung zum Zeitpunkt des Empfangs festhält. Software für die digitale Vermögensbuchhaltung, die diese Attribute nicht an einzelne Transaktionen anhängen kann, erzeugt ein Abstimmungsproblem, sobald ein Regulator oder Prüfer Nachweise für die durchgeführte Prüfung verlangt. Die Betonung der Cross-Chain-Sichtbarkeit im Bericht bedeutet, dass Software, die auf Single-Chain-Datenfeeds basiert, zunehmend den Kontext verfehlen wird, der für eine zuverlässige Klassifizierung nötig ist.

Unternehmen, die ihre AML-Pflichten für DeFi-Betreiber nach dem überarbeiteten CLARITY Act überprüfen, werden feststellen, dass hier dieselben Dokumentationsstandards auf Transaktionsebene gelten: die Pflicht nachzuweisen, dass eine Kontrolle zum Zeitpunkt jeder Transaktion vorhanden war und funktionierte, nicht nur, dass eine Richtlinie auf dem Papier existierte.

Bilanzielle Behandlung nicht erlaubter Stablecoins

Wenn ein Institut feststellt, dass es Stablecoins hält, die nach dem GENIUS Act nicht als erlaubt gelten, stellt sich die buchhalterische Frage, ob diese Vermögenswerte zum Nennwert geführt werden können. Wo die realistische Aussicht besteht, dass ein nicht erlaubter Stablecoin illiquide werden, seinen Peg verlieren oder Gegenstand regulatorischer Maßnahmen gegen den Emittenten sein könnte, wird die Bewertung zum beizulegenden Zeitwert nicht trivial. Unternehmen sollten eine dokumentierte Methodik für die regelmäßige Überprüfung des Buchwerts von Stablecoin-Positionen festlegen, wobei die Klassifizierung erlaubt/nicht erlaubt nach dem GENIUS Act Teil dieser Überprüfung sein sollte.

Eventualverbindlichkeiten aus Sanktionen offenlegen

Die Behandlung des Sanktionsrisikos für Stablecoin-Verarbeiter im Bericht hat direkte Auswirkungen auf die Offenlegung im Jahresabschluss. Wenn ein Unternehmen durch Stablecoin-Transaktionen Exposure gegenüber sanktionierten Gegenparteien identifiziert hat – oder vernünftigerweise hätte identifizieren müssen –, muss die aus möglicher OFAC-Durchsetzung entstehende Eventualverbindlichkeit bewertet und, sofern wesentlich, offengelegt werden. Die frühere OFAC-Sanktionsmaßnahme gegen Xinbi Guarantee und die daraus folgenden buchhalterischen Überlegungen sind ein praktisches Beispiel dafür, wie schnell sich dieses Exposure zu einem Durchsetzungsfall kristallisieren kann, der eine sofortige Überprüfung von Bilanz und Offenlegung erfordert.

Praktische nächste Schritte für Wirtschaftsprüfungsgesellschaften und CFOs

Der Elliptic-Bericht ist nicht präskriptiv in Bezug auf Implementierungsfristen, aber der regulatorische Hintergrund – insbesondere das aktive Rahmenwerk des GENIUS Act – bedeutet, dass das Zeitfenster für die Vorbereitung bereits enger wird. Mehrere Maßnahmen sind sofort umsetzbar.

Prüfen Sie jetzt Ihr Stablecoin-Inventar

Erstellen Sie ein vollständiges Inventar jedes Stablecoins, den Ihr Institut hält, mit dem es handelt oder den es für Kunden abwickelt. Dokumentieren Sie für jeden den Emittenten, den aktuellen Lizenzstatus des Emittenten nach dem GENIUS-Act-Rahmenwerk, die Chains, auf denen der Token operiert, und das letzte Datum, an dem eine Sanktionsprüfung durchgeführt wurde. Wo Lücken bestehen – Token ohne dokumentierte Prüfung oder Emittenten, deren Status seit der Notierung nicht verifiziert wurde –, behandeln Sie diese als vorrangige Abhilfemaßnahmen.

Überprüfen Sie die Fähigkeiten Ihrer Krypto-Buchhaltungssoftware anhand der neuen Anforderungen

Sowohl die Klassifizierung erlaubt/nicht erlaubt nach dem GENIUS Act als auch die Cross-Chain-Prüfanforderungen des Berichts verlangen, dass Ihre Krypto-Buchhaltungssoftware Multi-Chain-Daten aufnehmen, Compliance-Attribute an einzelne Transaktionen anhängen und Positionen kennzeichnen kann, die eine manuelle Überprüfung erfordern. Wenn Ihre aktuellen Tools dies nicht können, muss die Lücke dokumentiert, eskaliert und durch ein Software-Upgrade oder ergänzende manuelle Kontrollen adressiert werden – wobei diese kompensierende Kontrolle für Prüfer dokumentiert werden muss.

Aktualisieren Sie AML-Richtlinien, um aktuelle Typologien abzubilden

AML-Richtlinien, die vor dem GENIUS Act und bevor die in diesem Bericht identifizierten Typologien mainstream wurden, verfasst wurden, müssen überarbeitet werden. Die spezifischen Risikoindikatoren, die Elliptic hervorhebt – Cross-Chain-Stablecoin-Bewegungen, Lücken bei der Sorgfaltspflicht der Emittenten, Sanktionsrisiko durch Multi-Hop-Transfers – sollten ausdrücklich in der Risikobereitschaftserklärung und den Transaktionsüberwachungsverfahren Ihres Unternehmens genannt werden. Generische Sprache zu „Krypto-Risiken“ wird einen Prüfer, der fragt, ob Ihre Kontrollen auf bekannte aktuelle Typologien kalibriert wurden, wahrscheinlich nicht zufriedenstellen.

Häufig gestellte Fragen

Was bedeutet das Rahmenwerk für erlaubte/nicht erlaubte Stablecoins des GENIUS Act für Banken in der Praxis?

Nach dem GENIUS Act muss jeder Stablecoin, den eine Bank handhabt, anhand der bundesrechtlichen Lizenzkriterien bewertet werden. Stablecoins von Emittenten, die diese Kriterien erfüllen, sind erlaubt; alle anderen nicht. Einen nicht erlaubten Stablecoin so zu behandeln, als wäre er erlaubt – ihn als Sicherheit anzunehmen, zu clearen oder als liquiden Vermögenswert zu halten –, stellt einen Compliance-Verstoß dar. Banken benötigen Klassifizierungsverfahren, regelmäßige erneute Prüfungen des Emittentenstatus und Kontrollen, die verhindern, dass nicht erlaubte Token ohne angemessene Prüfung verarbeitet werden.

Warum erzeugt Cross-Chain-Stablecoin-Aktivität eine Lücke bei der Sanktionsprüfung?

Wenn sich ein Stablecoin über eine Brücke oder einen Wrapped-Token-Mechanismus über Chains bewegt, erzeugt jeder Abschnitt dieser Reise einen separaten Transaktionsdatensatz auf einer anderen Blockchain. Ein Screening-Tool, das nur eine Chain überwacht, wird Exposure übersehen, das auf einer anderen aufgetreten ist. Um Sanktionspflichten zu erfüllen, benötigen Unternehmen eine Screening-Abdeckung, die dem Vermögenswert über seine gesamte Chain-Historie folgt, nicht nur über den zuletzt empfangenen Abschnitt.

Wie sollten Buchhaltungsteams mit Stablecoins von Emittenten unter regulatorischer Untersuchung umgehen?

Wenn ein Stablecoin-Emittent untersucht wird oder gegen ihn Durchsetzungsmaßnahmen ergriffen wurden, sollten der Buchwert und die Liquidität des Tokens neu bewertet werden. Wenn die Werthaltigkeit zum Nennwert zweifelhaft ist, kann eine Wertminderungsprüfung erforderlich sein. Darüber hinaus sollte die aus dem Halten oder der Transaktion mit diesem Token entstehende Eventualverbindlichkeit auf Offenlegung nach den geltenden Rechnungslegungsstandards geprüft werden. Die Bewertung sollte dokumentiert und zu jedem Berichtsdatum überprüft werden, bis die regulatorische Situation geklärt ist.

Was ist die Sorgfaltspflicht der Emittenten und wie oft sollte sie durchgeführt werden?

Die Sorgfaltspflicht der Emittenten ist der Prozess der Überprüfung, dass der Emittent eines Stablecoins die AML-, Sanktions- und Risikoanforderungen erfüllt, die für lizenzierte Emittenten unter dem relevanten Regulierungsregime gelten. Sie geht über eine einmalige Onboarding-Prüfung hinaus: Da sich der Lizenzstatus, das AML-Programm und das Sanktionsrisiko eines Emittenten ändern können, sollten Unternehmen regelmäßige erneute Prüfungen durchführen – mindestens jährlich und ereignisgesteuert, wann immer wesentliche Nachrichten über einen Emittenten auftauchen.

Was sollte ein Unternehmen tun, wenn seine Krypto-Buchhaltungssoftware Stablecoins nicht nach dem GENIUS-Act-Status klassifizieren kann?

Wenn die Software Stablecoins nicht nativ als erlaubt oder nicht erlaubt klassifizieren kann, sollte das Unternehmen eine kompensierende Kontrolle implementieren: einen manuellen oder halbautomatisierten Prozess, der die Klassifizierung auf jede Stablecoin-Position anwendet und sie an die relevanten Transaktionsdatensätze anhängt. Diese kompensierende Kontrolle muss für Prüfungszwecke dokumentiert, getestet und nachgewiesen werden. Die längerfristige Lösung besteht darin, Tools zu beschaffen, die diese Klassifizierung automatisch mit einem prüfbaren Datenpfad als Teil des standardmäßigen Transaktionserfassungs-Workflows durchführen können.

Quelle: Elliptic