EU-Sanktionspaket 21: Das Krypto-Drittstaaten-Verbot und seine Bedeutung für Ihre Kanzlei

Das 21. Sanktionspaket der Europäischen Union, veröffentlicht im August 2026, bricht Neuland. Erstmals führen die EU-Sanktionsregeln ein sogenanntes "Drittstaaten-Verbot" für Krypto-Aktivitäten ein, was bedeutet, dass die Beschränkungen die Geografie einer Dienstleistung betreffen, nicht nur die Identität eines Gegenübers. Für Wirtschaftsprüfungsgesellschaften, Wirtschaftsprüfer und CFOs mit jeglicher Exposition gegenüber digitalen Vermögenswerten ist dies kein bloßes regulatorisches Hintergrundupdate. Es zieht die Grenzen neu, welche Transaktionen verbucht werden können, welche Salden gehalten werden dürfen und welche Offenlegungen erforderlich sind.

Was das 21. Sanktionspaket tatsächlich besagt

Frühere EU-Sanktionspakete gegen Krypto folgten weitgehend dem konventionellen Muster: Einfrieren der Vermögenswerte benannter Personen und Unternehmen, Verbot für EU-Bürger, mit ihnen zu handeln, und Verpflichtung der Krypto-Dienstleister (CASP), entsprechend zu screenen und zu blockieren. Das 21. Paket behält all dies bei, fügt jedoch eine geografische Beschränkung hinzu, die sich strukturell unterscheidet.

Die Drittstaaten-Dimension

Die neuen Regeln verbieten es EU-lizenzierten CASPs, Dienstleistungen in oder an bestimmte Drittländer zu erbringen, wenn diese Dienstleistungen Krypto-Assets betreffen und die Sorge besteht, dass die Gerichtsbarkeit einen Kanal für die Umgehung von Sanktionen bietet. Die Logik ist einfach: Wenn ein CASP frei Nutzer anwerben oder Transaktionen über eine Nicht-EU-Gerichtsbarkeit leiten kann, der es an gleichwertigen Kontrollen mangelt, kann das gesamte EU-Sanktionsregime mit einer einzigen Routing-Entscheidung umgangen werden. Das Paket schließt diese Lücke direkt.

Diese geografische Ebene bedeutet, dass Compliance nicht mehr allein durch das Screening von Gegenparteien gegen die konsolidierten EU-Listen erfüllt ist. Firmen müssen auch bewerten, wo eine Transaktion beginnt oder endet, und ob diese Geografie selbst eine Beschränkung auslöst, unabhängig davon, ob die spezifische Gegenpartei auf einer Liste steht.

Zusammenspiel mit bestehenden CASP-Pflichten

EU-lizenzierte CASPs operieren bereits unter dem Autorisierungsrahmen der MiCA und den Travel-Rule-Anforderungen der Transfer of Funds Regulation. Das 21. Paket setzt auf beiden auf. Ein CASP, der MiCA-konform und Travel-Rule-konform ist, ist nicht automatisch sanktionskonform unter den neuen geografischen Regeln. Die drei Regime sind kumulativ, nicht alternativ. Für Firmen, die CASPs beraten oder CASP-Investitionen in der Bilanz halten, hat diese Schichtung direkte Auswirkungen auf die Bewertung des regulatorischen Risikoprofils eines Kunden oder Beteiligungsunternehmens.

Wer direkt betroffen ist

Die unmittelbarste Auswirkung trifft regulierte CASPs, die unter MiCA-Autorisierungen in EU-Mitgliedstaaten operieren. Aber die Auswirkungen reichen weiter.

Wirtschaftsprüfungsgesellschaften und Wirtschaftsprüfer

Firmen, die CASPs prüfen oder Unternehmen mit wesentlichen Krypto-Treasury-Positionen, müssen das Drittstaaten-Verbot nun in ihre Going-Concern- und Risikobewertungsarbeit einbeziehen. Ein Prüfungsmandant, der einen wesentlichen Teil seines Krypto-Volumens über eine eingeschränkte Gerichtsbarkeit leitet, hat eine regulatorische Exposition, die bewertet, offengelegt und möglicherweise qualifiziert werden muss. Gleiches gilt für Firmen, die ausgelagerte Compliance- oder Finanzkriminalitäts-Risikofunktionen für CASPs bereitstellen: Der Umfang des Auftrags muss möglicherweise auf geografisches Screening erweitert werden, nicht nur auf Gegenpartei-Screening.

Aus Sicht der MiCA-Konformität und institutionellen Qualität im europäischen Digitalfinanzwesen beschleunigt das 21. Paket einen bereits sichtbaren Trend: Die Messlatte für angemessene Krypto-Compliance in Europa steigt weiter, und Firmen, deren interne Rahmenwerke auf Anforderungen früherer Generationen kalibriert waren, liegen nun hinter der Kurve.

CFOs und Treasury-Teams

Corporate-Treasury-Teams, die Krypto-Assets halten oder Krypto-Schienen für grenzüberschreitende Zahlungen nutzen, stehen vor zwei unterschiedlichen Fragen. Erstens: Führt die aktuelle Gegenpartei- oder Routing-Infrastruktur des Treasury durch ein eingeschränktes Drittland? Zweitens: Verfügt der CASP-Anbieter der Firma über angemessene Kontrollen, um sicherzustellen, dass die eigenen Transaktionen der Firma nicht versehentlich gegen das Verbot verstoßen? Die zweite Frage ist wichtig, weil die Vorschriften sowohl dem CASP als auch in einigen Fällen der Kundengesellschaft Pflichten auferlegen. Unkenntnis über die Routing-Geografie ist keine Verteidigung.

CFOs sollten auch prüfen, ob bestehende Offenlegungen in Jahres- und Zwischenabschlüssen diese neue regulatorische Ebene angemessen erfassen. Wenn ein wesentlicher Teil der Krypto-Aktivitäten eines Unternehmens nun geografischen Beschränkungen unterliegt, ist dies eine Eventualverbindlichkeit und ein Going-Concern-Faktor, nach dem Wirtschaftsprüfer fragen werden.

Fondsmanager und institutionelle Anleger

Fondsmanager mit digitalen Vermögensallokationen müssen verifizieren, ob ihre Bestände durch Strukturen verwahrt oder verwaltet werden, die eingeschränkte Gerichtsbarkeiten berühren. Dies umfasst Dachfonds und strukturierte Produkte, bei denen die zugrunde liegende CASP-Exposition in den Top-Level-Fondsdokumenten möglicherweise nicht sofort sichtbar ist. Eine Position, die auf Fondsebene sauber erscheint, kann auf Subfonds- oder Verwahrerebene einen Verstoß aufweisen.

Bilanzierungs- und Berichtspflichten

Wertminderung und beizulegender Zeitwert

Nach IFRS und US GAAP erfordern zum beizulegenden Zeitwert bewertete Krypto-Assets eine kontinuierliche Bewertung, ob Marktbedingungen oder regulatorische Ereignisse den Wert beeinflusst haben. Ein Drittstaaten-Verbot, das die Fähigkeit einschränkt, eine Position in einer bestimmten Geografie zu handeln, zu übertragen oder zu liquidieren, ist ein Level-3-Input für den beizulegenden Zeitwert: Es betrifft den Hauptmarkt für das Asset und die Fähigkeit des Unternehmens, die Position zum notierten Preis zu verlassen. Finanzteams sollten ihre Offenlegungen zur Fair-Value-Hierarchie überprüfen und erwägen, ob eine Anpassung erforderlich ist.

Für Vermögenswerte, die nach dem Kostenmodell mit Wertminderungsprüfung bilanziert werden, stellt sich die Frage, ob die neuen Beschränkungen einen Wertminderungsauslöser darstellen. Wenn eine Krypto-Position über einen CASP gehalten wird, der selbst in seinem Hauptmarkt eingeschränkt ist, ist die Werthaltigkeit dieser Position wesentlich beeinträchtigt.

Rückstellungen und Eventualverbindlichkeiten

Wenn ein Unternehmen bereits in einer Geografie Transaktionen durchgeführt hat, die nun eingeschränkt sein könnte, oder wenn Unsicherheit darüber besteht, ob frühere Aktivitäten den neuen Regeln entsprechen, kann eine Rückstellung oder Eventualverbindlichkeits-Offenlegung nach IAS 37 erforderlich sein. Die Schwelle ist eine gegenwärtige Verpflichtung aus einem vergangenen Ereignis mit wahrscheinlichem Abfluss von Ressourcen. Regulatorische Geldbußen oder erforderliche Abschöpfung von Erlösen aus eingeschränkten Aktivitäten könnten diesen Test erfüllen.

Wie Krypto-Buchhaltungssoftware reagieren muss

Die geografische Dimension des 21. Pakets schafft eine direkte Anforderung an Krypto-Buchhaltungssoftware, Transaktionsgeografien zu erfassen und zu kennzeichnen, nicht nur Gegenpartei-Identitäten. Firmen, die Software für digitale Vermögenswerte verwenden, die um Gegenpartei-Sanktionsscreening herum aufgebaut wurde, müssen bewerten, ob diese Software so konfiguriert werden kann, dass Transaktionen nach Routing-Gerichtsbarkeit gekennzeichnet werden. Wo dies nicht möglich ist, ist interimistisch ein manueller Übersteuerungsprozess erforderlich, mit einer Roadmap für Technologie-Upgrades mittelfristig.

Dies ist auch bei der Bewertung von Krypto-Buchhaltungssoftware für CASP-Kunden zu bedenken: Die Fähigkeit zum geografischen Screening ist nun ein compliance-kritisches Merkmal, kein Nice-to-have. Firmen, die Kunden bei der Auswahl oder Konfiguration solcher Software helfen, haben die Pflicht, diese Lücke aufzuzeigen.

Geldwäsche- und Finanzkriminalitäts-Compliance

Die Geldwäsche-Implikationen des Drittstaaten-Verbots interagieren eng mit dem bestehenden Travel-Rule-Rahmenwerk der Transfer of Funds Regulation. Die Travel Rule verlangt, dass Informationen über Auftraggeber und Empfänger bei jeder Krypto-Überweisung über der Schwelle mitgeführt werden. Die geografischen Beschränkungen des 21. Pakets fügen eine weitere Frage hinzu: Selbst wenn die Travel-Rule-Daten vollständig sind, schafft die Routing-Geografie selbst einen Verstoß?

Neukonfiguration der Transaktionsüberwachung

Compliance-Teams sollten erwarten, die Transaktionsüberwachungsregeln neu zu konfigurieren, um geografische Kennzeichnungen neben den bestehenden Gegenpartei- und Schwellenwert-Alerts hinzuzufügen. Dies ist keine triviale Übung. Viele Transaktionsüberwachungssysteme im Krypto-Bereich wurden mit Blockchain-Adress-Screening als primärer Kontrolle aufgebaut, mit Jurisdiktionslogik als sekundärer Ebene. Diese Priorität umzukehren oder der geografischen Ebene zumindest gleiches Gewicht zu geben, erfordert eine formelle Überprüfung der Regelsätze und in vielen Fällen die Einbindung von Anbietern.

Die Interaktion mit KI-getriebener Krypto-Kriminalität und ihre Auswirkungen auf AML-Pflichten von Wirtschaftsprüfungsgesellschaften ist auch hier relevant: Sophistizierte Akteure, die eingeschränkte Geografien ausnutzen wollen, nutzen zunehmend KI-gestützte Transaktionsstrukturierung, um Routing-Pfade zu verschleiern. Firmen benötigen Überwachungssysteme, die Schichtungen über mehrere Jurisdiktionen erkennen können, nicht nur direkte Überweisungen in eingeschränkte Geografien.

Meldung verdächtiger Transaktionen

Wenn ein Unternehmen eine Transaktion identifiziert, die eine eingeschränkte Gerichtsbarkeit berührt haben könnte, auch historisch, kann dies eine Verpflichtung zur Meldung verdächtiger Transaktionen (STR) nach nationalen Geldwäschegesetzen auslösen, die die EU-Geldwäscherichtlinien umsetzen. Die Hürde für die Meldung ist ein begründeter Verdacht, nicht Gewissheit. Compliance-Beauftragte sollten in der Zeit unmittelbar nach Annahme des Pakets einen konservativen Ansatz verfolgen, während die Durchsetzungsleitlinien der nationalen zuständigen Behörden noch veröffentlicht werden.

Praktische Schritte für Kanzleien: Eine priorisierte Checkliste

Angesichts der Neuheit der geografischen Beschränkung ist der dringendste Bedarf ein klarer interner Aktionsplan. Die folgenden Schritte spiegeln die Bereiche mit dem höchsten unmittelbaren Risiko wider.

Schritt 1: Jurisdiktions-Mapping

Bevor alles andere: Kanzleien müssen wissen, welche Drittländer im 21. Paket aufgeführt sind, und ihren aktuellen Kundenstamm, Transaktionsströme und Verwahrvereinbarungen gegen diese Liste abbilden. Dieses Mapping sollte nicht nur direkte Gegenparteien abdecken, sondern auch zwischengeschaltete CASPs und Unterverwahrer. Eine Transaktion, die an irgendeinem Punkt ihres Routings eine eingeschränkte Gerichtsbarkeit durchläuft, könnte in den Anwendungsbereich fallen.

Schritt 2: Technologie-Lückenanalyse

Überprüfen Sie, ob die aktuelle Krypto-Buchhaltungssoftware, Transaktionsüberwachungssysteme und Onboarding-Plattformen nach Routing-Jurisdiktion screenen können. Wo dies nicht der Fall ist, dokumentieren Sie die Lücke, implementieren Sie interimistische manuelle Kontrollen und initiieren Sie ein Gespräch mit dem Anbieter über einen Zeitplan für die Behebung. Aufsichtsbehörden erwarten, dass Kanzleien nachweisen, dass sie die Lücke identifiziert und zeitnah gehandelt haben.

Schritt 3: Benachrichtigung von Kunden und Gegenparteien

Wenn ein CASP Kunden hat, deren Aktivitäten vom Drittstaaten-Verbot betroffen sein könnten, müssen diese Kunden benachrichtigt und gegebenenfalls von den relevanten Aktivitäten ausgeschlossen oder ihnen diese untersagt werden. Dies hat sowohl vertragliche als auch regulatorische Dimensionen: Kundenvereinbarungen müssen möglicherweise auf Force-Majeure- oder Regulierungsänderungsklauseln überprüft werden, die regeln, wie der CASP Dienstleistungen einschränken kann.

Schritt 4: Überprüfung der Finanzberichte

Finanzteams sollten die Finanzberichte der aktuellen und früheren Perioden auf Offenlegungen, Bewertungen oder Rückstellungen überprüfen, die angesichts der neuen Beschränkungen möglicherweise aktualisiert werden müssen. Wirtschaftsprüfer sollten proaktiv unterrichtet werden, nicht erst bei der nächsten geplanten Prüfung.

Schritt 5: Überwachung der Durchsetzungsleitlinien

Das 21. Paket ist verabschiedetes Gesetz, aber die Durchsetzungsleitlinien der Europäischen Kommission und der nationalen zuständigen Behörden werden sich weiterentwickeln. Kanzleien sollten eine benannte Person damit beauftragen, diese Leitlinien zu verfolgen und wesentliche Entwicklungen umgehend an die Geschäftsleitung und den Prüfungsausschuss zu eskalieren.

Häufig gestellte Fragen

Gilt das Drittstaaten-Verbot für alle Krypto-Assets oder nur für bestimmte Arten?

Die Beschränkungen gelten allgemein für Krypto-Assets, konsistent mit der Definition des Vermögenswerts in den EU-Sanktions- und MiCA-Rahmenwerken. Es gibt derzeit keine Ausnahme für bestimmte Asset-Typen wie Stablecoins oder Utility-Tokens. Kanzleien sollten die Beschränkungen auf ihr gesamtes digitales Asset-Buch anwenden, bis weitere Durchsetzungsleitlinien den Umfang eingrenzen oder klären.

Wenn die Krypto-Buchhaltungssoftware einer Kanzlei eine Transaktion nachträglich kennzeichnet, haftet die Kanzlei dann weiterhin?

Ja. Die Verpflichtung besteht darin, die eingeschränkte Transaktion zu verhindern, nicht sie nur nachträglich zu erkennen. Die Erkennung nachträglich kann eine Strafe mildern, insbesondere wenn die Kanzlei Selbstanzeige erstattet und mit der zuständigen Behörde kooperiert, aber sie beseitigt die Haftung nicht. Ziel jedes Technologie-Upgrades sollte präventives geografisches Screening vor der Transaktion sein, nicht nur die Meldung nach der Transaktion.

Wie interagiert das Drittstaaten-Verbot mit dem MiCA-Autorisierungsregime?

Die MiCA-Autorisierung erlaubt einem CASP, unter einem Passporting-Regime in EU-Mitgliedstaaten tätig zu sein, aber sie autorisiert keine Aktivitäten in Drittländern. Die Beschränkungen des 21. Pakets fügen auf den bestehenden Umfangsbeschränkungen der MiCA ein weiteres Verbot bestimmter Drittstaaten-Dienstleistungen hinzu. Ein MiCA-autorisierter CASP, der keine Dienstleistungen in eingeschränkten Gerichtsbarkeiten erbrachte, ist operativ weitgehend unberührt, muss aber dennoch verifizieren, dass sein Transaktionsrouting nicht durch eingeschränkte Geografien führt.

Sind Nicht-EU-Firmen betroffen, wenn sie EU-Ursprungstransaktionen verarbeiten?

Die extraterritoriale Reichweite der EU-Sanktionen ist eine komplexe Rechtsfrage, aber als allgemeiner Grundsatz kann jede Firma, die Transaktionen mit EU-Personen oder EU-Ursprungsgeldern verarbeitet, den EU-Sanktionspflichten unterliegen. Nicht-EU-CASPs, die EU-Kunden bedienen, sollten rechtlichen Rat zu ihrer Exposition unter dem 21. Paket einholen, insbesondere wenn ein Teil ihrer Routing-Infrastruktur eingeschränkte Drittländer berührt.

Was sollte ein Prüfungsausschuss die Geschäftsleitung gerade jetzt fragen?

Der Prüfungsausschuss sollte die Geschäftsleitung bitten, zu bestätigen: welche Drittländer unter dem 21. Paket aufgeführt sind; ob die Kanzlei direkte oder indirekte Exposition gegenüber diesen Gerichtsbarkeiten durch Kundenaktivitäten, Verwahrvereinbarungen oder Transaktionsrouting hat; ob die aktuellen Technologiesysteme auf geografischer Ebene screenen können; und ob in der nächsten Berichtsperiode Rückstellungen oder Eventualverbindlichkeits-Offenlegungen erforderlich sind. Die Geschäftsleitung sollte diese Fragen innerhalb von Tagen beantworten können, nicht Wochen.

Quelle: Elliptic