FATF 7. Krypto-Zeugnis: Das Durchsetzungsdefizit ist jetzt das Kernproblem

Die Financial Action Task Force hat am 16. Juli 2026 ihr siebtes gezieltes Update zu virtuellen Vermögenswerten und Dienstleistern für virtuelle Vermögenswerte veröffentlicht. Die Kernaussage ist unbequem: Die globale Regulierungsgemeinschaft hat echte gesetzgeberische Fortschritte erzielt, aber die Durchsetzung hält nicht Schritt. Für Wirtschaftsprüfungsgesellschaften, Wirtschaftsprüfer und CFOs im Bereich digitaler Vermögenswerte ist diese Lücke keine Abstraktion. Sie prägt die aufsichtsrechtliche Prüfung, der Ihre Kunden ausgesetzt sind, die AML-Kontrollen, die Sie in Krypto-Compliance-Berichterstattungs-Workflows einbetten sollen, und die Haftungsrisiken, die mit Fehlern verbunden sind.

Was die FATF-Umfrage zu 147 Ländern tatsächlich zeigt

Die FATF befragte 147 Länder für diesen Bericht. Die wichtigsten Zahlen sind oberflächlich betrachtet ermutigend. Die Länder, die eine Risikobewertung für virtuelle Vermögenswerte abgeschlossen haben, stiegen von 76 % im Jahr 2025 auf 86 % in diesem Jahr. Diejenigen mit bestehender Gesetzgebung stiegen von 73 % auf 83 %. Der Anteil der mit „Weitgehend konform“ bewerteten Länder stieg von 29 % auf 34 %. Von den 95 Ländern, die eine VASP-Lizenzierung verlangen, führen nun 81 % aufsichtliche Inspektionen durch, gegenüber 73 %, und 71 % haben mindestens einige Durchsetzungsmaßnahmen ergriffen.

Dieser Trend ist real. Länder, die sich zu Lizenzierungsrahmen verpflichtet haben, setzen dies zunehmend um, was für jedes Unternehmen wichtig ist, das Kunden berät, die in mehreren Märkten tätig sind.

Wo die Zahlen auseinanderfallen

Schauen Sie hinter die prozentualen Schlagzeilen, und das Bild ändert sich. 60 % der Länder, die die Travel Rule gesetzlich verankert haben, haben noch keine Aufsichts- oder Durchsetzungsmaßnahmen gegen nicht konforme VASPs ergriffen. Die Travel Rule, die verlangt, dass auftraggebende und begünstigte Institute bei Transaktionen über einem Schwellenwert Gegenparteidaten austauschen, ist seit 2019 Teil des FATF-Standards. Sieben Jahre später setzt die Mehrheit der gesetzgebenden Länder sie immer noch nicht durch.

Die Lücke bei den präventiven Kontrollen ist noch krasser. Als die FATF bewertete, wie gut Länder das Kriterium der AML/CFT-Präventionsmaßnahmen erfüllen, erfüllten nur 13 von 139 – weniger als 10 % – den Standard vollständig. Dies sind die proaktiven Kontrollen, die illegale Ströme stoppen sollen, bevor sie sich bewegen, nicht danach. Screening, Blockierung und Kennzeichnung zum Zeitpunkt der Transaktion, anstatt Spuren nach einem Vorfall zu rekonstruieren. Die eigene Formulierung der FATF: Prävention ist der größte Bereich ungenutzten Potenzials im gesamten Rahmenwerk der Empfehlung 15.

Es gibt auch eine strukturelle Diskrepanz zwischen Lizenzierungsanforderungen und ihrer praktischen Anwendung. Während 73 % der Länder eine VASP-Lizenzierung verlangen, haben nur 58 % tatsächlich eine Lizenz an mindestens ein Unternehmen vergeben. Nur 40 % erfüllen dieses Kriterium bei gegenseitigen Evaluierungen zufriedenstellend. Etwas zu verlangen und es zu operationalisieren sind zwei verschiedene Dinge, und die FATF behandelt diesen Unterschied nicht länger als akzeptabel.

Drei strukturelle Lücken, die der Bericht explizit benennt

Verbot ohne Überwachung schafft blinde Flecken

23 % der Länder verbieten VASPs nun vollständig, gegenüber 11 % im Jahr 2023. Die Sorge der FATF betrifft nicht das Verbot selbst, sondern das, was folgt: Die meisten dieser Länder sind bei der Durchsetzung „nicht vorangekommen“. Eine Aktivität zu verbieten, ohne ein aktives Überwachungsregime zu haben, beseitigt die Aktivität nicht. Es treibt sie in die Undurchsichtigkeit. Der Bericht ist in diesem Punkt direkt: Jedes Land, einschließlich derer, die VASPs verboten haben, wird erwartet, seine Exposition gegenüber virtuellen Vermögenswerten umfassend zu bewerten. Inländische VASPs, Offshore-VASPs, die lokale Kunden anwerben, Stablecoin-Emittenten, qualifizierende DeFi-Arrangements, Peer-to-Peer-Aktivitäten über nicht verwahrte Wallets und neue Geschäftsmodelle müssen alle berücksichtigt werden.

DeFi-Klassifizierung bleibt fast vollständig ungelöst

93 % der Länder haben nicht identifiziert, was die FATF „qualifizierende DeFi-Arrangements“ nennt, d. h. Protokolle, bei denen es einen identifizierbaren Eigentümer oder Betreiber gibt, der in ein VASP-Lizenzierungsregime einbezogen werden kann. Nur vier Länder haben eine Lizenzierungspflicht für solche Arrangements verhängt, zwei haben mindestens eine Lizenz erteilt, und eines hat Durchsetzungsmaßnahmen ergriffen. Die FATF hat ergänzende Leitlinien herausgegeben, um Ländern bei der Klassifizierungsfrage zu helfen, aber das praktische Ergebnis ist, dass ein enormer Anteil der DeFi-Aktivitäten weltweit außerhalb jeder regulatorischen Grenze liegt. Für Unternehmen, die Kunden beraten, die mit DeFi-Protokollen interagieren, ist dies kein zukünftiges Risiko. Es ist ein gegenwärtiges, und die Richtung der FATF ist klar: Die Leitlinien der FATF zu zentralisierten Elementen in DeFi und VASP-Klassifizierung werden seit zwei Jahren verschärft.

Stablecoin-Emittenten haben jetzt eine eigene Verfolgungsspalte

Die Umfragentabelle des Berichts enthält jetzt eine eigene Spalte für die Lizenzierung von Stablecoin-Emittenten, eine strukturelle Änderung, die signalisiert, wie ernst die FATF Stablecoin-spezifische Risiken nimmt. Terrororganisationen, darunter ISIL und Al-Qaida, haben sich für Fundraising und Transfers Stablecoins zugewandt und bevorzugen deren Liquidität und Konvertierbarkeit gegenüber Bitcoin. Die FATF stellt fest, dass Stablecoins jetzt einen signifikanten und wachsenden Anteil des illegalen Transaktionsvolumens ausmachen.

Fünf eskalierende Risikobereiche, die Wirtschaftsprüfungsgesellschaften verfolgen müssen

Industrialisierter Betrug und Geldwäsche in großem Maßstab

Der Bericht dokumentiert in Kambodscha ansässige Betrugsoperationen, die zu dem geworden sind, was die FATF als „bedeutende Generatoren illegaler Erlöse“ beschreibt. Ein Konglomerat wusch zwischen August 2021 und Januar 2025 mindestens 4 Milliarden US-Dollar, wobei seine Infrastruktur organisierte Kriminalität, Betrug, Untergrundbankgeschäfte und Geldwäsche mit virtuellen Vermögenswerten verband. Mindestens 37 Millionen US-Dollar dieser Erlöse wurden nordkoreanischen Cyberüberfällen zur Unterstützung von Massenvernichtungswaffenprogrammen zugeschrieben. Spaniens Operation Borrelli zerschlug ein separates Betrugsnetzwerk für Investmentbetrug in Höhe von 460 Millionen Euro, das über 5.000 Opfer in mehreren Ländern betraf.

Proprietäre „einfrierresistente“ Stablecoins

Dies ist arguably das operationsrelevanteste Risiko, das der Bericht für Compliance-Teams identifiziert. Nachdem ein Drittemittent über 29 Millionen US-Dollar in seinen Wallets eingefroren hatte, startete dasselbe Konglomerat seinen eigenen USD-gebundenen Stablecoin, der explizit als immun gegen Vermögenseinfrierungen vermarktet wurde, ausgegeben auf mehreren öffentlichen Blockchains und einer proprietären Chain. Die Warnung der FATF ist direkt: VASPs „können möglicherweise nicht auf Mechanismen zum Einfrieren oder Verbrennen von Vermögenswerten auf Emittentenebene als Compliance-Sicherung vertrauen“. Jedes AML-Rahmenwerk, das die Fähigkeit zum Einfrieren von Stablecoins als ausreichende Kontrolle behandelt, muss überprüft werden. Der Bericht fordert robuste AML/CFT-Anforderungen, die direkt für die Stablecoin-Emission selbst gelten, nicht nur für die Börsen und Wallets, die die Token vertreiben.

KI als struktureller Verstärker von Finanzkriminalität

Die FATF betrachtet künstliche Intelligenz nicht als eigenständige technische Kuriosität, sondern als „einen strukturellen Faktor, der Risiken der Geldwäsche, Terrorismusfinanzierung und Sanktionsumgehung verstärken kann“. Dokumentierte Fälle umfassen Deepfake-gestützte Rekrutierungsbetrugsfälle, die über 1 Million US-Dollar erbeuten, KI-gestützte Entwicklung von Smart-Contract-Exploits und die Nutzung von Open-Weight-Modellen, um kommerzielle KI-Sicherheitsvorkehrungen in Spitzensystemen zu umgehen. Für Compliance-Teams bedeutet dies, dass auf menschliche Betrugsmuster kalibrierte Transaktionsüberwachungsregeln möglicherweise nicht gegen KI-beschleunigte Angriffsvektoren ausreichen.

Konvergenz von Proliferationsfinanzierung, Terrorismusfinanzierung und Sanktionsumgehung

Der Bericht stellt klar, dass diese Bedrohungskategorien nicht länger als separate Risikosilos behandelt werden sollten. Nordkorea nutzt nicht nur VASPs und DeFi-Protokolle, sondern auch die Drittinfrastruktur, von der diese Systeme abhängen, einschließlich Netzwerkknoten und Multi-Party-Sicherheitssysteme. Diese Konvergenz bedeutet, dass ein Kunde, der ein Proliferationsfinanzierungsrisiko darstellt, gleichzeitig ein Sanktions- und Terrorismusfinanzierungsrisiko darstellen kann. Segmentierte Risikobewertungen werden dies übersehen.

Offshore-VASPs und Peer-to-Peer-Lücken

Offshore-VASPs werben aktiv Kunden in regulierten Märkten an, empfehlen die Nutzung von VPNs, um die Gerichtsbarkeit zu verschleiern, und geben sich als Privatkunden über verschachtelte Konten innerhalb regulierter Plattformen aus. 88 % der Länder stufen Peer-to-Peer-Aktivitäten über nicht verwahrte Wallets als hohes Risiko ein. Nur 23 % erheben Metriken, um sie zu messen. Diese Lücke zwischen Risikobewertung und Datenerhebung ist selbst ein aufsichtliches Versagen, das die FATF benennt.

Was die FATF jetzt von Aufsichtsbehörden und dem Privatsektor erwartet

Die Empfehlungen des Berichts an die Aufsichtsbehörden sind unmissverständlich. Von den Ländern wird erwartet, dass sie ihre Regime operationalisieren, nicht nur auf dem Papier haben. Das bedeutet, VASPs, Stablecoin-Emittenten und qualifizierende DeFi-Arrangements zu lizenzieren; echte Vor-Ort- und Ferninspektionen durchzuführen; und nicht lizenzierte Unternehmen aktiv zu identifizieren und zu sanktionieren. Die Lücke zwischen einer Lizenzierungsanforderung und der tatsächlichen Erteilung von Lizenzen soll die FATF im nächsten Berichtszyklus geschlossen sehen.

Entscheidend ist, dass der Bericht eine Voraussetzung enthält, die direkt beeinflusst, wie Aufsichtsbehörden die von Ihnen beratenen Unternehmen prüfen: Die Aufsichtsbehörden selbst müssen On-Chain-Daten nutzen. Die glaubwürdige Bewertung der Compliance-Position eines VASP erfordert das Verständnis dessen, was auf der Chain passiert, nicht nur die Überprüfung von Richtliniendokumenten. Regulierungsbehörden, die keine Transaktionsflüsse nachverfolgen oder ihre Ergebnisse belegen können, werden Schwierigkeiten haben, die effektive Umsetzung zu demonstrieren, die die FATF jetzt fordert. Dies ist direkt relevant für wie KI-gesteuerte AML-Aufsicht regulatorische Erwartungen auf Länderebene neu gestaltet.

Für den Privatsektor listen die Empfehlungen der FATF explizit Wallet-Screening, Blacklisting und Whitelisting, Blockchain-Analytik sowie Einfrier- und Blockierfähigkeiten als erwartete Komponenten eines konformen AML-Rahmenwerks auf. Dies sind keine optionalen Verbesserungen mehr. Sie sind Basiserwartungen. Für Wirtschaftsprüfungsgesellschaften und CFOs, die Unternehmen für digitale Vermögenswerte beraten, ist die Sicherstellung, dass Ihre Kunden diese Fähigkeiten bei einer aufsichtlichen Inspektion nachweisen können, jetzt eine Kernaufgabe.

Buchhalterische und operative Auswirkungen für Unternehmen und CFOs

AML-Kontrolldokumentation muss durchsetzungsbereite Standards widerspiegeln

Der Wandel von Papier-Compliance zu durchsetzungsbereiter Compliance verändert, wie angemessene Dokumentation aussieht. Eine Richtlinie, die Screening beschreibt, ohne Nachweis, dass Screening operativ verankert, getestet und mit verwertbaren Ergebnissen ist, wird einen Prüfer, der das Kriterium der Präventionsmaßnahmen der FATF anwendet, nicht zufriedenstellen. Unternehmen, die VASPs beraten oder digitale Vermögenswerte im Auftrag von Kunden halten, müssen sicherstellen, dass die AML-Kontrolldokumentation die operative Realität abbildet, nicht nur regulatorische Wunschvorstellungen.

Krypto-Buchhaltungssoftware, die Wallet-Screening und Transaktionsüberwachungsausgaben direkt in den Prüfpfad integriert, wird hier zunehmend relevant. Wenn ein Aufseher nach Nachweisen für präventive Kontrollen fragt, ist die Fähigkeit, zeitgestempelte, on-chain-verknüpfte Aufzeichnungen vorzulegen, materiell besser verteidigbar als eine narrative Beschreibung eines Prozesses.

Stablecoin-Bestände erfordern eine neue Risikobewertung

Das Auftauchen von einfrierresistenten Stablecoins als dokumentiertes Compliance-Umgehungsinstrument hat direkte Bilanzimplikationen. Für jeden Kunden, der Stablecoins als Treasury-Vermögenswerte hält oder sie zur Zahlungsabwicklung verwendet, muss das Compliance-Team bewerten, ob der Emittent dieser Stablecoins robuste AML-Kontrollen unterhält, einschließlich echter Einfrier- und Verbrennungsfähigkeit, und ob diese Fähigkeit einer regulatorischen Aufsicht unterliegt. Ein Stablecoin, der seine Resistenz gegen Vermögenseinfrierungen vermarktet, ist aus Compliance-Sicht eine rote Flagge, die unabhängig von seiner Preisstabilität eine verstärkte Sorgfaltspflicht rechtfertigt.

DeFi-Kundenexposition erfordert explizite Abgrenzung

Da 93 % der Länder qualifizierende DeFi-Arrangements noch nicht klassifiziert haben, besteht regulatorische Unsicherheit, aber auch regulatorische Richtung. Die FATF hat klargestellt, dass identifizierbare Eigentümer und Betreiber von DeFi-Protokollen in den Anwendungsbereich der VASP-Anforderungen fallen. Für jeden Kunden, der DeFi-Protokolle betreibt, in sie investiert oder daraus Renditen erzielt, sollte eine explizite Abgrenzungsprüfung durchgeführt werden, um festzustellen, ob eine Lizenzierungs- oder Registrierungspflicht besteht oder in der relevanten Gerichtsbarkeit entsteht. Diese Frage offen zu lassen, ist selbst ein Governance-Risiko.

Travel-Rule-Compliance rechtfertigt jetzt eine Gap-Analyse

Die Feststellung, dass 60 % der Länder mit Travel-Rule-Gesetzgebung diese nicht durchgesetzt haben, wirkt in beide Richtungen. Es bedeutet, dass der Durchsetzungsdruck wahrscheinlich zunehmen wird, da die FATF die Länder drängt, diese Lücke zu schließen. Für Kunden, die die Travel-Rule-Implementierung mit der Begründung aufgeschoben haben, dass die Aufsichtsbehörden nicht aktiv waren, wird dieses Fenster enger. Eine jetzt durchgeführte Gap-Analyse vor einer Inspektion ist erheblich günstiger als eine, die als Reaktion auf eine aufsichtliche Anordnung durchgeführt wird.

Quelle: Chainalysis