FATF 7. Update: Was Buchhaltungsfirmen und CFOs jetzt tun müssen

Die Financial Action Task Force hat am 16. Juli 2026 ihr siebtes gezieltes Update zu Empfehlung 15 veröffentlicht, und die wichtigste Erkenntnis ist trügerisch einfach: Die Welt hat mehr Krypto-Gesetze verabschiedet, setzt sie aber nicht durch. Für Buchhaltungsfirmen, Prüfer und CFOs mit Digital-Asset-Engagement ist dieses Update keine Hintergrundlektüre. Es definiert neu, was Regulierungsbehörden künftig von sowohl beaufsichtigten Unternehmen als auch ihren professionellen Beratern erwarten werden.

Was das 7. gezielte Update tatsächlich misst

Die FATF befragt ihre Mitgliedsstaaten jährlich zur Umsetzung von Empfehlung 15, dem vor über sieben Jahren veröffentlichten Rahmenwerk, das festlegt, wie Nationen virtuelle Asset-Dienstleister (VASPs) regulieren sollten. Das siebte Update, das 147 Länder abdeckt, zeigt auf fast allen legislativen Kennzahlen Verbesserungen an der Oberfläche.

Die legislativen Fortschritte

Risikobewertungen sind jetzt in 86% der Länder abgeschlossen, gegenüber 76% im Jahr 2025. Gesetze wurden in 83% der Länder verabschiedet, gegenüber 73% im Vorjahr. Der Anteil der Länder mit der Bewertung „Weitgehend konform“ stieg von 29% auf 34%. Von den 95 Ländern, die eine VASP-Lizenzierung verlangen, führen 81% nun Aufsichtsinspektionen durch, gegenüber 73%, und 71% haben mindestens eine Durchsetzungsmaßnahme ergriffen. Dies sind echte Fortschritte, kein statistisches Rauschen.

Wo das Rahmenwerk bricht

Das Durchsetzungsbild ist deutlich anders. Sechzig Prozent der Länder, die Travel-Rule-Gesetze in den Büchern haben, haben null Aufsichts- oder Durchsetzungsmaßnahmen dazu ergriffen. Als die FATF präventive AML- und Terrorismusbekämpfungsmaßnahmen bewertete, die Kontrollen, die illegale Aktivitäten stoppen sollen, bevor Gelder fließen, und nicht danach, erfüllten nur 13 von 139 Ländern den Standard vollständig. Das sind weniger als 10%. Die FATF selbst nennt Prävention „das größte Gebiet ungenutzten Potenzials im gesamten R.15-Rahmenwerk.“

Drei strukturelle Lücken stechen hervor. Erstens verlangen 73% der Länder eine VASP-Lizenz, aber nur 58% haben tatsächlich auch nur eine Lizenz ausgestellt, und nur 40% erfüllen das Lizenzkriterium bei gegenseitigen Bewertungen zufriedenstellend. Zweitens verbieten jetzt 23% der Länder VASPs vollständig, ein starker Anstieg von 11% im Jahr 2023, aber die Mehrheit hat bei der Durchsetzung dieses Verbots „keine Fortschritte“ gemacht. Aktivitäten zu verbieten, ohne sie zu überwachen, schafft einen regulatorischen blinden Fleck, in dem virtuelle Asset-Aktivitäten außerhalb jeder aufsichtlichen Sichtbarkeit fortgesetzt werden. Drittens haben 93% der Länder sogenannte qualifizierte DeFi-Vereinbarungen nicht identifiziert, bei denen ein identifizierbarer Eigentümer oder Betreiber existiert und in die VASP-Regulierung einbezogen werden könnte. Nur vier Länder haben Lizenzanforderungen für solche Vereinbarungen eingeführt; zwei haben eine lizenziert; eines hat gegen irgendeine durchgesetzt.

Für Firmen, die Kunden verwalten, die in DeFi aktiv sind, oder die zu DeFi-Treasury-Strukturen beraten, ist dieser letzte Datenpunkt wichtig: Das Fehlen regulatorischer Maßnahmen ist nicht dasselbe wie regulatorische Klarheit, und die FATF hat jetzt ergänzende Leitlinien speziell zur Behandlung von DeFi veröffentlicht. Firmen sollten dies als Signal betrachten, dass Durchsetzung kommt, nicht als Bestätigung, dass sie nicht kommt.

Das Update führt auch eine bemerkenswerte strukturelle Änderung ein: Die beigefügten Umfrageergebnisse enthalten jetzt eine eigene Spalte, die die Lizenzierung von Stablecoin-Emittenten verfolgt, was den Fokus widerspiegelt, den die FATF in ihrer früheren Leitlinie zu Stablecoins etabliert hat. Diese Spalte wird in zukünftigen Iterationen genau beobachtet.

Fünf eskalierende Risikobereiche, die von der FATF genannt werden

Über die Compliance-Statistiken hinaus identifiziert das Update fünf Bereiche, in denen sich die Bedrohungslage materiell verschlechtert hat. Jeder hat direkte Auswirkungen darauf, wie Firmen ihre Kunden-Sorgfaltspflicht durchführen und ihre eigenen Krypto-Buchhaltungssoftware-Workflows strukturieren.

Industrialisierter Betrug in großem Maßstab

Die FATF nennt in Kambodscha ansässige Betrugsoperationen, einschließlich Schweineschlacht-Netzwerke, als „bedeutende Generatoren illegaler Erlöse.“ Ein Konglomerat wusch mindestens 4 Milliarden US-Dollar zwischen August 2021 und Januar 2025, was organisierte Kriminalität, Untergrundbanken und Geldwäsche auf Basis virtueller Assets verbindet. Mindestens 37 Millionen US-Dollar dieser Summe wurden nordkoreanischen Cyberangriffen zur Finanzierung von Massenvernichtungswaffenprogrammen zugeschrieben. In Europa zerschlug Spaniens Operation Borrelli ein Investitionsbetrugsnetzwerk mit einem Volumen von 460 Millionen Euro, das über 5.000 Opfer in mehreren Ländern betraf. Dies sind keine Randfälle. Sie sind die Betriebsgröße, mit der Regulierungsbehörden jetzt erwarten, dass Aufsichtsbehörden und VASPs ausgestattet sind, um sie zu erkennen.

Proprietäre einfrierresistente Stablecoins

Dies ist wohl das bedeutendste neue Risiko, das im gesamten Update identifiziert wird, und es hat direkte Auswirkungen auf die Sorgfaltspflicht bei Stablecoins. Nachdem ein Drittanbieter-Emittent über 29 Millionen US-Dollar in Wallets, die mit dem in Kambodscha ansässigen Konglomerat verbunden sind, eingefroren hatte, startete dasselbe kriminelle Netzwerk seinen eigenen an den US-Dollar gekoppelten Stablecoin, der ausdrücklich als immun gegen das Einfrieren von Vermögenswerten vermarktet wurde. Er wurde auf mehreren öffentlichen Blockchains und einer proprietären Chain ausgegeben.

Die Warnung der FATF an den privaten Sektor ist explizit: VASPs „können möglicherweise nicht in der Lage sein, sich auf Einfrier- und Burn-Mechanismen auf Emittentenebene als Compliance-Schutz zu verlassen“, wenn sie mit Stablecoins von nicht regulierten, kooperativen Gegenparteien umgehen. Das Update stellt auch fest, dass terroristische Organisationen, einschließlich ISIL und Al-Qaida, zunehmend Stablecoins gegenüber Bitcoin für Spendenaktionen und Überweisungen bevorzugen, was mit dem breiteren Trend übereinstimmt, dass Stablecoins einen wachsenden Anteil am gesamten illegalen On-Chain-Volumen ausmachen.

Für Buchhaltungsfirmen und CFOs ist die praktische Auswirkung unmittelbar: Stablecoin-Bestände auf Kunden- oder Unternehmensbilanzen müssen nicht nur auf Bewertungs- und Liquiditätsrisiko bewertet werden, sondern auch auf das AML-Profil des Emittenten selbst. Firmen, die auf digitale Asset-Buchhaltungssoftware setzen, die Stablecoin-Positionen verfolgt, sollten überprüfen, ob diese Systeme Risikomerkmale auf Emittentenebene kennzeichnen, nicht nur den Token-Preis.

KI als struktureller Verstärker

Die FATF bezeichnet künstliche Intelligenz nicht als eigenständige technische Kuriosität, sondern als „einen strukturellen Faktor, der Geldwäsche, Terrorismusfinanzierung und Sanktionsumgehungsrisiken verstärken kann.“ Die genannten Fälle umfassen Deepfake-gestützte Rekrutierungsbetrügereien mit Verlusten von über 1 Million US-Dollar, KI-gestützte Entwicklung von Smart-Contract-Exploits und die Nutzung von Open-Weight-KI-Modellen zur Umgehung kommerzieller Inhaltskontrollen. KI-Identitätsbetrug wird separat als die am schnellsten wachsende Betrugskategorie in den letzten Berichtszeiträumen identifiziert. Für Firmen, die Kunden-Onboarding und KYC durchführen, bedeutet dies, dass Identitätsprüfungsprozesse, die vor zwei Jahren ausreichend waren, möglicherweise nicht mehr gegen eine deepfake-fähige Bedrohungsumgebung bestehen. Erweiterte Liveness-Checks und bestätigende Identitätsdokumente sind keine optionale Best Practice mehr.

Konvergenz von Proliferationsfinanzierung, Terrorismusfinanzierung und Sanktionsumgehung

Die FATF ist explizit, dass diese drei Bedrohungskategorien nicht mehr als separate Risiko-Silos behandelt werden sollten. Sie teilen Infrastruktur, einschließlich VASP-Konten, DeFi-Protokolle, Netzwerkknoten und Multi-Party-Sicherheitssysteme. Insbesondere Nordkorea wird als ein Land identifiziert, das nicht nur VASPs und DeFi ausnutzt, sondern auch die zugrunde liegende technische Infrastruktur, auf die sich diese Plattformen stützen. Für Firmen, die Sanktionsscreenings für digitale Asset-Kunden durchführen, bedeutet diese Konvergenz, dass ein einzelnes Risikoereignis gleichzeitig AML-Meldepflichten, Sanktionsexposition und Proliferationsfinanzierungs-Rotflaggen auslösen kann. Compliance-Workflows müssen so gestaltet sein, dass sie alle drei abfangen, nicht nur das Offensichtlichste.

Offshore-VASPs und Peer-to-Peer-Lücken

Offshore-VASPs akquirieren aktiv Kunden in Ländern, in denen sie nicht lizenziert sind, raten Kunden, VPNs zu verwenden, um ihren Standort zu verschleiern, und betreiben Nested-Konten, die sie für Regulierungsbehörden wie Privatkunden erscheinen lassen, nicht wie VASPs. In der Zwischenzeit bewerten 88% der Länder Peer-to-Peer-Aktivitäten über ungehostete Wallets als hohes Risiko, aber nur 23% sammeln irgendwelche Metriken dazu. Für Firmen, die Kunden beraten, die über ungehostete Wallets oder Offshore-Plattformen Transaktionen durchführen, bestätigen diese Datenpunkte, dass das Fehlen einer Lizenzanforderung in einem bestimmten Kanal nicht bedeutet, dass die Aktivität unterhalb der AML-Schwelle liegt.

Was die FATF jetzt von Aufsichtsbehörden und dem privaten Sektor erwartet

Die Empfehlungen des Updates an Regulierungsbehörden und den privaten Sektor sind betrieblich spezifischer als frühere Ausgaben, was für die Interpretation der Kundenpflichten durch Buchhaltungsfirmen wichtig ist.

Aufsichtserwartungen

Die Länder müssen die Lücke zwischen einer Lizenzanforderung und der tatsächlichen Lizenzvergabe schließen. Das bedeutet, echte Vor-Ort- und Ferninspektionen durchzuführen, aktiv Unternehmen ohne Lizenz zu identifizieren und Durchsetzungsmaßnahmen zu ergreifen, wenn Verstöße gefunden werden. Die FATF ist auch explizit, dass Aufsichtsbehörden selbst On-Chain-Daten verwenden müssen. Regulierungsbehörden, denen die Werkzeuge fehlen, um Ströme zu verfolgen, Risiken zu bewerten und ihre Ergebnisse zu belegen, werden Schwierigkeiten haben, die effektive Umsetzung zu demonstrieren, die die FATF jetzt fordert. Dies hat eine sekundäre Auswirkung für Firmen: Regulierungsbehörden, die mit On-Chain-Analytik ausgestattet sind, werden zunehmend Diskrepanzen zwischen dem identifizieren, was Kunden melden, und dem, was die Blockchain-Aufzeichnungen zeigen.

Technische Erwartungen an den privaten Sektor

Die Empfehlungen der FATF an den privaten Sektor listen explizit Wallet-Screening, Blacklisting und Whitelisting, Blockchain-Analytik-Tools sowie Einfrier- und Blockierfähigkeiten als erwartete Bestandteile eines konformen AML-Rahmenwerks auf. Diese werden nicht mehr als fortschrittliche oder optionale Fähigkeiten bezeichnet. Sie sind Basiserwartungen. Für Buchhaltungsfirmen, die VASPs bei der Gestaltung von Compliance-Programmen beraten, und für CFOs, die bewerten, ob die Krypto-Buchhaltungssoftware ihres Unternehmens mit diesen Tools integriert ist, setzt diese Sprache die Mindestanforderung, gegen die die nächste Runde der gegenseitigen Bewertungen testen wird.

Das Update bekräftigt auch einen Punkt, den Praktiker oft unterschätzen: Die On-Chain-Transparenz der Blockchain ist ein AML-Vorteil, nicht nur eine Komplikation. Anders als im traditionellen Finanzwesen, wo die Transaktionssichtbarkeit von Intermediär-Berichten nachträglich abhängt, sind Krypto-Transaktionen in Echtzeit sichtbar. Firmen und Aufsichtsbehörden, die Screening und Analytik proaktiv einsetzen, bevor Gelder fließen, und nicht danach, sind besser positioniert, sowohl für Compliance als auch für die Demonstration effektiver Umsetzung gegenüber Prüfern.

Firmen, die bereits strukturierte Krypto-Compliance-Programme haben, sollten dieses Update als Aufforderung betrachten, zu überprüfen, ob ihre digitale Asset-Buchhaltungssoftware Audit-Trails produziert, die einer FATF-konformen Prüfung standhalten würden. Diejenigen, die noch mit Tabellenkalkulationen oder manuellen Prozessen arbeiten, haben eine dringendere Sanierungszeitachse, als die legislativen Schlagzeilenstatistiken vermuten lassen.

Für den Kontext, wie diese Verpflichtungen mit regionalen Rahmenwerken interagieren, siehe unsere Analyse der MiCA-Übergangszeit-Compliance-Pflichten für CASPs und unsere Aufschlüsselung der Travel-Rule-Pflichten in Taiwan: die Frist im Oktober 2026.

Auswirkungen auf Buchhaltung und Prüfung: Eine praktische Checkliste

Das FATF-Update schafft nicht direkt neue rechtliche Verpflichtungen. Es signalisiert, worauf sich die nächste Welle von Regulierungsprüfungen konzentrieren wird, und dieses Signal ist es wert, in konkrete interne Maßnahmen übersetzt zu werden.

Für Buchhaltungsfirmen und Prüfer

• Bewerten Sie, ob Kunden-VASPs von Papierlizenzen zu aktiver aufsichtlicher Zusammenarbeit übergegangen sind, einschließlich dokumentierter Inspektionen und Durchsetzungsbereitschaft.
• Überprüfen Sie Stablecoin-Bestände in Kundenkonten auf das AML-Profil des Emittenten, nicht nur auf Preisstabilität. Stablecoins von Emittenten ohne robuste Einfrier- und Burn-Mechanismen tragen jetzt eine eigenständige Compliance-Risikoschicht.
• Stellen Sie sicher, dass KYC-Verfahren KI-generiertem Identitätsbetrug standhalten können, einschließlich Deepfake-Videos und synthetischer Dokumentation.
• Bestätigen Sie, dass die Travel-Rule-Compliance betrieblich aktiv ist, nicht nur politisch dokumentiert. Die Feststellung der FATF, dass 60% der Länder mit Travel-Rule-Gesetzen keine Aufsichtsmaßnahmen ergriffen haben, bedeutet, dass eine Durchsetzungsnachholung wahrscheinlich ist.
• Dokumentieren Sie On-Chain-Datenquellen, die in Kundenrisikobewertungen verwendet werden. Prüfer werden zunehmend erwarten, dass Firmen ihre Arbeitsweise zeigen, nicht nur ihre Schlussfolgerungen.

Für CFOs mit Digital-Asset-Treasury-Exposition

• Wenn die Unternehmens-Treasury Stablecoins hält, bestätigen Sie, dass der Emittent der AML- und CFT-Regulierung unterliegt und mit Einfrieranfragen der Strafverfolgungsbehörden kooperiert.
• Bewerten Sie, ob Ihre Krypto-Buchhaltungssoftware oder digitale Asset-Buchhaltungssoftware Transaktionsaufzeichnungen produziert, die für eine Regulierungsprüfung ausreichen, einschließlich Gegenparteidaten und Wallet-Screening-Ergebnisse.
• Wenn Treasury-Aktivitäten DeFi-Protokolle beinhalten, bewerten Sie, ob diese Protokolle einen identifizierbaren Betreiber haben und ob dieser Betreiber in irgendeinem Land lizenziert ist. Die FATF-Leitlinie zu qualifizierenden DeFi-Vereinbarungen ist jetzt ein lebendiges Dokument.
• Überprüfen Sie die Abdeckung des Sanktionsscreenings für alle digitalen Asset-Gegenparteien, einschließlich Offshore-Börsen und Interaktionen mit ungehosteten Wallets.

Quelle: Chainalysis