FATF DeFi-Bericht 2026: Was der COSI-Test für Ihre Kanzlei bedeutet

Die Financial Action Task Force hat einen 49-seitigen Bericht über dezentrale Finanzen veröffentlicht, und die zentrale Botschaft ist eindeutig: Ein Protokoll als 'dezentral' zu bezeichnen, reicht nicht aus, um es außerhalb des Geltungsbereichs der Geldwäschebekämpfungs- und Terrorismusfinanzierungsbekämpfungspflichten zu stellen. Der im Juli 2026 veröffentlichte Bericht führt einen strukturierten Rahmen ein, um zu bestimmen, wann DeFi-Vereinbarungen als regulierte Anbieter von virtuellen Vermögenswerten behandelt werden müssen, und nennt Blockchain-Analysen als primäres Werkzeug, um diese Bestimmung operativ umzusetzen. Für Wirtschaftsprüfungsgesellschaften, die Krypto-Compliance- und Berichterstattungsaufträge durchführen, und für CFOs mit Bilanz- oder Treasury-Exposition gegenüber DeFi-Protokollen sind die Auswirkungen unmittelbar.

Warum die FATF sich jetzt mit DeFi befasst

DeFi-Protokolle bieten echte operative Vorteile: automatisierte Abwicklung, programmierbare Finanzlogik und kontinuierliche Verfügbarkeit ohne zentralen Intermediär. Dieselben Funktionen verkomplizieren jedoch die Frage, wer für die Einhaltung der Vorschriften verantwortlich ist. Traditionelle AML-Rahmenwerke setzen ein identifizierbares verpflichtetes Unternehmen voraus. DeFi-Governancestrukturen verschleiern oder verschleiern diese Einheit häufig absichtlich.

Die FATF erkennt an, dass Institutionen DeFi-Infrastruktur nutzen möchten und dass Gerichtsbarkeiten diese Interaktionen verantwortungsvoll ermöglichen sollten. Gleichzeitig ziehen die Eigenschaften, die legitime Nutzer anziehen, auch illegitime an. Der Bericht zitiert einen starken Anstieg illegaler Ströme in DeFi-Protokolle im Jahresvergleich, was Risikominderung statt ausdrücklicher Einschränkung zum erklärten politischen Ziel macht.

Die praktische Compliance-Lücke ist auffällig. Eine FATF-Evaluierung, die zusammen mit dem DeFi-Bericht veröffentlicht wurde, ergab, dass 93 % der Gerichtsbarkeiten keine qualifizierenden DeFi-Protokolle in ihrem Hoheitsgebiet identifiziert haben. Nur vier Gerichtsbarkeiten haben Lizenzanforderungen für DeFi-Vereinbarungen eingeführt, und nur eine hat Durchsetzungsmaßnahmen ergriffen. Der neue Bericht ist eine direkte Reaktion auf diese Lücke.

Der Kontroll- oder ausreichende Einflusstest

Das analytische Herzstück des Berichts ist der 'Kontroll- oder ausreichende Einflusstest', der durchgehend als COSI bezeichnet wird. Der Test bestimmt, ob eine Person oder ein Unternehmen genügend Autorität über ein DeFi-Protokoll ausübt, um gemäß den FATF-Standards als VASP behandelt zu werden. Der Rahmen wendet keine einzelne binäre Antwort an. Stattdessen ordnet er Protokolle basierend auf dem Ergebnis der COSI-Bewertung in eine von drei Kategorien ein.

Kategorie 1: Identifizierbare Kontrolle

Wenn Personen oder Unternehmen eindeutig Kontrolle oder ausreichenden Einfluss über ein Protokoll ausüben, fällt dieses Protokoll in den Geltungsbereich der FATF-Standards und muss als VASP behandelt werden. Lizenzierung, Registrierung, Sorgfaltspflichten gegenüber Kunden, Transaktionsüberwachung und Meldung verdächtiger Aktivitäten gelten in vollem Umfang.

Kategorie 2: Kontrolleure noch nicht identifiziert

Einige Protokolle werden effektiv von identifizierbaren Personen kontrolliert, aber diese Personen wurden nicht öffentlich offengelegt. Die FATF ordnet diese Vereinbarungen dem Geltungsbereich zu und weist die Aufsichtsbehörden an, mit inländischen Behörden, ausländischen Partnern und Blockchain-Analyseanbietern zusammenzuarbeiten, um zu identifizieren, wer tatsächlich dahinter steht. Die Untersuchungslast liegt beim Aufsichtsorgan, nicht bei einer Annahme der Nichtanwendbarkeit.

Kategorie 3: Wirklich dezentral

Wo keine Person oder Einrichtung Kontrolle oder ausreichenden Einfluss ausübt, liegt das Protokoll außerhalb des formellen Geltungsbereichs der FATF-Standards. Dies bedeutet nicht, dass das Risiko verschwindet. Der Bericht fordert ausdrücklich alternative, risikobasierte Minderungsmaßnahmen, um die Restrisiken anzugehen, die diese Vereinbarungen für das breitere Finanzsystem darstellen.

Indikatoren für die COSI-Bewertung

Der Bericht legt spezifische On-Chain- und Off-Chain-Indikatoren fest, die Aufsichtsbehörden und regulierte Unternehmen bei der Durchführung einer COSI-Bewertung verwenden sollten. Diese Indikatoren übersetzen eine abstrakte rechtliche Frage in konkrete analytische Aufgaben, von denen viele Krypto-Buchhaltungssoftware oder Blockchain-Analysetools erfordern, um sie zuverlässig auszuführen.

On-Chain-Indikatoren

Die Konzentration von Governance-Token ist das erste On-Chain-Signal. Wenn eine kleine Anzahl von Wallets genügend Governance-Token hält, um die finanziellen Operationen eines Protokolls zu steuern, kann eine Kontrolle vorliegen, selbst wenn die Vereinbarung formell als dezentrale autonome Organisation strukturiert ist. Die FATF fordert die Aufsichtsbehörden ausdrücklich auf, Wallet-Clustering und On-Chain-Abstimmungsverhalten zu untersuchen, um versteckte Kontrollmuster zu erkennen. Konzentration allein ist kein schlüssiger Beweis für Zentralisierung, aber sie ist ein wesentlicher Faktor in der Analyse.

Private-Key-Autorität ist der zweite Indikator. Der Besitz von Schlüsseln, die Smart-Contract-Upgrades, Parameteränderungen, Protokollpausen oder Zugriffskontrolländerungen ermöglichen, wird als starker Indikator für Kontrolle behandelt. Ein Entwickler oder Team, das Upgrade-Rechte über ein Live-Protokoll behält, übt funktional Autorität über die Finanzdienstleistungen aus, die dieses Protokoll bereitstellt.

Treasury- und Gebührenflüsse bieten eine dritte Datenquelle. Die Rückverfolgung, wohin Protokollumsätze und Treasury-Vermögenswerte über DeFi-Protokolle, Brücken und dezentrale Börsen fließen, kann die realen Unternehmen aufdecken, die vom wirtschaftlichen Output eines Protokolls profitieren und daher möglicherweise eine Kontrolle darüber ausüben.

Off-Chain-Indikatoren

Der COSI-Rahmen beschränkt sich nicht auf On-Chain-Daten. Der Bericht identifiziert die Kontrolle über Frontend-Schnittstellen, Entwicklungs-Repositorys und öffentliche Kommunikation über die Fähigkeit, ein Protokoll zu modifizieren, als relevante Off-Chain-Faktoren. Ein Team, das die benutzerorientierte Website kontrolliert, über die die meisten Teilnehmer auf ein Protokoll zugreifen, übt eine Form von Einfluss aus, die wirtschaftlich bedeutsam ist, selbst wenn die zugrunde liegenden Smart Contracts unveränderlich sind.

Was die FATF von den Aufsichtsbehörden erwartet

Der Bericht ist explizit in Bezug auf das aufsichtliche Toolkit. Drei Fähigkeiten werden als komplementär und notwendig für eine effektive DeFi-Aufsicht identifiziert.

Kontinuierliche Blockchain-Analysen

Die FATF empfiehlt, dass Aufsichtsbehörden fortlaufende Blockchain-Analysen durchführen, einschließlich Transaktionsverfolgung, Wallet-Clustering und Netzwerkanalyse, um Kontrolleure zu identifizieren und risikoreiche Protokolle zu überwachen. Dies ist keine einmalige Übung. Die Governance-Strukturen von Live-Protokollen können sich durch Governance-Abstimmungen, Token-Verteilungen oder Code-Upgrades ändern, was eine kontinuierliche statt einer punktuellen Analyse erfordert.

Zusammenarbeit mit Analyseanbietern

Wenn Kontrolleure eines nominell zentralisierten Protokolls nicht ohne Weiteres über öffentliche Informationen identifiziert werden können, weist der Bericht die Aufsichtsbehörden an, Blockchain-Analysefirmen einzuschalten, die möglicherweise zusätzliche Identifikatoren besitzen. Dieses Public-Private-Partnership-Modell wird ausdrücklich befürwortet und spiegelt ein breiteres FATF-Thema der kollaborativen Durchsetzung zwischen öffentlichem und privatem Sektor wider.

Grenzüberschreitende Zusammenarbeit

DeFi-Protokolle respektieren keine nationalen Grenzen. Der Bericht fordert die Gerichtsbarkeiten auf, bei der Untersuchung von Protokollen, die über mehrere Rechtssysteme hinweg operieren, mit ausländischen Partnern zusammenzuarbeiten. Für Wirtschaftsprüfungsgesellschaften, die multinationale Kunden beraten, signalisiert dies, dass ein DeFi-Gegenpart, der in einer Gerichtsbarkeit als risikoarm eingestuft wird, unter Umständen die Aufmerksamkeit einer ausländischen Aufsichtsbehörde auf sich ziehen kann, mit Auswirkungen auf konsolidierte AML-Risikobewertungen.

Unternehmen, die bereits APAC-Krypto-AML-Compliance-Risiken und Lizenzrealitäten verfolgen, werden dieses Muster erkennen: Regulierungsbehörden bündeln zunehmend Informationen über Gerichtsbarkeiten hinweg, und eine Compliance-Lücke in einem Gebiet kann zu einem Durchsetzungsproblem in einem anderen werden.

Auswirkungen für Finanzinstitute und regulierte Unternehmen

Der Bericht richtet sich nicht nur an Aufsichtsbehörden, sondern auch an Finanzinstitute, unabhängig davon, ob sie im traditionellen Finanzwesen oder als lizenzierte Krypto-Unternehmen tätig sind. Alle regulierten Unternehmen mit DeFi-Gegenparteirisiko müssen eine risikobasierte Due Diligence durchführen, die drei Dimensionen abdeckt: die Governance-Struktur des Protokolls, die Wirksamkeit aller vom Protokoll implementierten AML- und CFT-Kontrollen sowie die Fähigkeit des Protokolls, operationelle Risiken einschließlich Smart-Contract-Schwachstellen und Exploits zu managen.

Wo höhere Risiken identifiziert werden, ist eine verstärkte Due Diligence erforderlich. Der Bericht nennt ausdrücklich die Exposition gegenüber Brücken, Mischem und Cross-Chain-Tools als Faktoren, die eine tiefere Analyse von Geldflüssen und niedrigere Schwellenwerte für die Meldung verdächtiger Aktivitäten auslösen sollten. Protokolle, die begrenzte oder keine Compliance-Kontrollen implementiert haben, gelten per Definition als risikoreichere Gegenparteien.

Eine Nuance, die für CFOs und Compliance-Beauftragte erwähnenswert ist: Die FATF ermutigt Protokolle aktiv zur Implementierung von Sicherheitsfunktionen wie Kill-Switches und Pausemechanismen sowie AML-Kontrollen wie Frontend-Screening und Sanktionsprüfungen. Der Regulierungsrahmen soll die Kontrolle über Finanzdienstleistungen bewerten, nicht gute Praktiken bestrafen. Ein Protokoll, das eine Sanktionsscreening-Ebene im Frontend implementiert hat, wird allein aus diesem Grund nicht als zentral kontrolliert behandelt.

Stablecoin-Emittenten werden im Bericht ausdrücklich als Träger besonderer Verpflichtungen genannt. Da viele DeFi-Protokolle Stablecoins als primäre Rechnungseinheit verwenden, sollten Unternehmen mit Stablecoin-Treasury-Positionen, die mit DeFi-Liquiditätspools interagieren, prüfen, ob diese Interaktionen ein Gegenparteirisiko gegenüber Protokollen schaffen, die noch nicht auf COSI-Status bewertet wurden.

Buchhalterische und prüfungstechnische Überlegungen für Kanzleien

Der FATF-Bericht hat direkte Konsequenzen für die Strukturierung von Krypto-Mandaten durch Wirtschaftsprüfungsgesellschaften und für die Gestaltung interner Kontrollen durch CFOs rund um DeFi-Aktivitäten.

Gegenparteiklassifizierung in den Büchern

Wenn ein DeFi-Protokoll unter dem COSI-Rahmen in Kategorie 1 oder 2 fällt, können Transaktionen mit diesem Protokoll VASP-äquivalente Compliance-Verpflichtungen mit sich bringen. Unternehmen, die Krypto-Buchhaltungssoftware oder Software für die Buchhaltung digitaler Vermögenswerte zur Erfassung von DeFi-Transaktionen verwenden, müssen Gegenparteien mit ihrem COSI-Klassifizierungsstatus kennzeichnen, insbesondere sobald nationale Aufsichtsbehörden Listen der von ihnen bewerteten Protokolle veröffentlichen. Diese Klassifizierung wird beeinflussen, wie Transaktionen in AML-Prüfpfaden und möglicherweise in Offenlegungen gegenüber Regulierungsbehörden behandelt werden.

Workflows für verstärkte Due Diligence

Für Kunden, die DeFi-Protokollen Liquidität bereitstellen, über DeFi-Geldmärkte verleihen oder Governance-Token als Treasury-Vermögenswerte halten, ist der Standard-Workflow für die Kunden-Due-Diligence nicht mehr ausreichend. Kanzleien benötigen ein Verfahren für die Due Diligence auf Protokollebene, das die Verteilung von Governance-Token, die Verwahrung von Upgrade-Schlüsseln, die Analyse von Treasury-Flüssen und den Nachweis von AML-Kontrollen abdeckt. Krypto-Buchhaltungssoftware, die keinen strukturierten Prüfpfad für diese Datenpunkte erstellen kann, muss durch Blockchain-Analyseausgaben ergänzt werden, bevor diese Dateien freigegeben werden.

Überwachung von Sanktionsrisiken

Die Betonung von Brücken und Cross-Chain-Tools als Infrastruktur mit erhöhtem Risiko im Bericht deckt sich mit bestehenden Durchsetzungstrends bei Sanktionen. Unternehmen, die bereits OFAC-Sanktionsrisiken für Shelbit und Aban Tether verwalten, wissen, dass Cross-Chain-Routing den Ursprung von Geldern verschleiern kann. Der FATF-Rahmen gibt den Aufsichtsbehörden nun eine strukturierte Grundlage, um von Unternehmen zu verlangen, diese Ströme im Rahmen der Standard-AML-Überwachung zu verfolgen, nicht nur als Reaktion auf eine bestimmte rote Flagge.

Dokumentation der Prüfungsunterlagen

Wo ein Kunde ein materielles DeFi-Engagement hat, sollten Prüfungsunterlagen nun dokumentierte Nachweise der COSI-Bewertung für jedes verwendete Protokoll enthalten. Das bedeutet, festzuhalten, in welche Kategorie das Protokoll fällt, welche Indikatoren geprüft wurden und welche Blockchain-Analyseausgaben die Schlussfolgerung stützten. Wenn nationale Aufsichtsbehörden beginnen, den FATF-Rahmen umzusetzen, werden Unternehmen, die diese Dokumentation auf Anfrage nicht vorlegen können, einem erheblichen regulatorischen Risiko ausgesetzt sein.

Was Kanzleien jetzt tun sollten

Die 93-%-Zahl ist die operativ bedeutendste Zahl im Bericht. Neun von zehn Gerichtsbarkeiten haben noch kein DeFi-Protokoll in ihrem Hoheitsgebiet formell bewertet. Diese Lücke wird sich schließen, wenn der neue Rahmen der FATF in nationale Aufsichtsrichtlinien und Folgeprüfungen der gegenseitigen Evaluierung einfließt. Unternehmen, die jetzt mit eigenen Protokollbewertungen beginnen, werden der Regulierungskurve voraus sein, anstatt zu kämpfen, wenn nationale Regeln kommen.

Praktisch bedeutet das vier unmittelbare Maßnahmen. Erstens: Inventarisieren Sie alle DeFi-Protokollinteraktionen in Ihrem Kundenstamm oder Ihrer eigenen Bilanz. Zweitens: Wenden Sie eine vorläufige COSI-Prüfung auf jedes Protokoll an, unter Verwendung öffentlich verfügbarer Governance-Daten, On-Chain-Analysen und veröffentlichter Dokumentation. Drittens: Aktualisieren Sie Ihre internen AML-Workflows, um Due-Diligence-Prüfungen auf Protokollebene als Standard-Schritt für jeden DeFi-Gegenpart aufzunehmen. Viertens: Stellen Sie sicher, dass die in Ihrer Praxis verwendete Software für die Buchhaltung digitaler Vermögenswerte die Prüfpfaddokumentation erstellen kann, die Aufsichtsbehörden letztendlich verlangen werden.

Die FATF hat den Rahmen bereitgestellt. Nationale Aufsichtsbehörden werden ihn nun in durchsetzbare Verpflichtungen übersetzen. Die Unternehmen, die für diesen Übergang am besten positioniert sind, sind diejenigen, die die Analyse der Protokoll-Governance heute als Compliance-Funktion behandeln, nicht als zukünftige Überlegung.

Quelle: Chainalysis