FATF: Zentralisierte Elemente in DeFi müssen als VASPs reguliert werden
Die Financial Action Task Force hat ein klares Signal an die globalen Regulierungsbehörden gesendet: Das dezentrale Etikett, das vielen DeFi-Protokollen anhaftet, beseitigt nicht die Notwendigkeit von Anti-Geldwäsche-Kontrollen. In einer am 22. Juli 2026 veröffentlichten Stellungnahme erklärte die FATF, dass zentralisierte Elemente „häufig bestehen bleiben“ in angeblich dezentralen Finanzvereinbarungen und dass diese Elemente denselben Virtual Asset Service Provider-Verpflichtungen unterliegen sollten, die für zentralisierte Börsen gelten. Für Wirtschaftsprüfungsgesellschaften, Wirtschaftsprüfer und CFOs mit Kunden im Bereich digitaler Vermögenswerte ist dies eine wesentliche Compliance-Entwicklung, keine entfernte regulatorische Kuriosität.
Was die FATF tatsächlich gesagt hat
Die Position der FATF basiert auf ihrem bestehenden Rahmenwerk für virtuelle Vermögenswerte, das die Mitgliedsstaaten verpflichtet, sicherzustellen, dass VASPs Sorgfaltspflichten gegenüber Kunden durchführen, Transaktionen überwachen und Verdachtsmeldungen einreichen. Die Herausforderung bei DeFi war schon immer die Zuschreibung: Wenn ein Protokoll durch einen Smart Contract gesteuert wird und es keinen offensichtlichen Betreiber gibt, wer trägt dann die VASP-Verpflichtungen?
Der Befund „bestehen häufig“
Die Antwort der FATF lautet, dass das rein betreiberfreie DeFi-Protokoll seltener ist, als die Branche behauptet. Zentralisierte Elemente, also identifizierbare Personen oder Unternehmen, die Kontrolle oder ausreichenden Einfluss auf ein Protokoll ausüben, bestehen häufig. Diese können verschiedene Formen annehmen. Ein Gründungsteam, das Admin-Schlüssel oder Upgraderechte behält, ist ein Beispiel. Eine DAO-Governance-Struktur, bei der eine kleine Gruppe von Token-Inhabern eine Supermehrheit der Stimmen besitzt, ist ein weiteres. Gebührenempfänger, Front-End-Betreiber und Liquiditätsanbieter mit privilegiertem Zugang fallen aus Sicht der FATF alle in dieselbe Kategorie.
Wenn solche Elemente vorhanden sind, ist die Position der FATF, dass die verantwortliche Partei als VASP behandelt und entsprechend reguliert werden sollte. Dies ist kein neues konzeptionelles Argument: Die aktualisierten Leitlinien der FATF zu virtuellen Vermögenswerten von 2021 haben dieses Problem bereits angesprochen. Die Erklärung vom Juli 2026 verstärkt und schärft diese Position und signalisiert den nationalen Regulierungsbehörden, dass das Ermessen bei der Durchsetzung nicht dazu genutzt werden sollte, DeFi-Projekte vom VASP-Rahmenwerk auszunehmen, nur weil sie ein dezentrales Etikett tragen.
Anwendungsbereich: Welche Protokolle sind betroffen
Die FATF nennt keine spezifischen Protokolle. Stattdessen beschreibt sie die Merkmale, die eine DeFi-Vereinbarung in den Anwendungsbereich fallen lassen. Der entscheidende Test ist, ob eine natürliche Person oder eine juristische Person die Möglichkeit hat, die Regeln des Protokolls festzulegen oder zu ändern, Gebühren zu erheben oder anderweitig Kontrolle auszuüben. Dezentralisierung wird als Spektrum behandelt, nicht als binärer Zustand. Ein Protokoll kann in seiner Ausführungsebene dezentral sein, während es in seiner Governance-Ebene zentralisiert bleibt, und auf die Governance-Ebene konzentriert sich die FATF.
Dies ist praktisch wichtig für Unternehmen, die DeFi-Kunden betreuen. Ein Fonds, der in DeFi-Protokoll-Token investiert, eine Treasury, die Vermögenswerte über einen DeFi-Yield-Aggregator einsetzt, oder eine Wirtschaftsprüfungsgesellschaft, die eine DAO prüft, müssen alle verstehen, wo sich ihr Kunde auf diesem Spektrum befindet.
Warum dies für Wirtschaftsprüfungsgesellschaften und CFOs wichtig ist
Die direkten regulatorischen Auswirkungen betreffen die Länder, die FATF-Mitglieder sind, was die überwältigende Mehrheit der OECD-Volkswirtschaften abdeckt. Es wird erwartet, dass die nationalen Regulierungsbehörden die FATF-Empfehlungen in nationales Recht umsetzen. Die Erklärung vom Juli 2026 gibt den Regulierungsbehörden eine ausdrückliche Grundlage, um VASP-Registrierungs-, KYC- und Transaktionsüberwachungspflichten auf DeFi-Betreiber anzuwenden, die zuvor in einer Grauzone operierten.
Kunden-Onboarding und KYC-Pflichten
Wenn ein Kunde selbst ein DeFi-Betreiber mit zentralisierten Merkmalen ist, geht die Wirtschaftsprüfungsgesellschaft oder der Wirtschaftsprüfer ein Risiko ein, das über das übliche Berufshaftpflichtrisiko hinausgeht. Der Kunde könnte als nicht registrierter VASP tätig sein. Unternehmen sollten ihre Verfahren zur Kundenannahme überprüfen und sicherstellen, dass ihre Onboarding-Fragebögen erfassen, ob der Kunde ein DeFi-Protokoll betreibt, kontrolliert oder Gebühreneinnahmen daraus erzielt. Ist die Antwort ja, sind verstärkte Sorgfaltspflichten und die rechtliche Freigabe des regulatorischen Status des Kunden die mindestens sinnvollen Schritte.
Für CFOs von Unternehmen, die mit DeFi-Protokollen interagieren – sei es durch Treasury-Management, Yield-Strategien oder Token-Bestände – wirft die FATF-Position Fragen zum Kontrahentenrisiko auf. Wenn das DeFi-Protokoll, das ein Unternehmen nutzt, später im Heimatland des Unternehmens als nicht registrierter VASP eingestuft wird, könnte die Transaktionshistorie mit diesem Protokoll regulatorische Aufmerksamkeit erregen. Eine robuste Krypto-Buchhaltungssoftware, die den vollständigen Transaktionsdatensatz erfasst, einschließlich der Identität des Protokolls, des Transaktionstyps und der Gegenpartei-Wallet (soweit bekannt), wird zu einem Compliance-Vorteil und nicht nur zu einem Buchhaltungswerkzeug.
Gestaltung von AML-Programmen für DeFi-Exposition
Unternehmen, die bereits AML-Programme für Aktivitäten an zentralisierten Börsen haben, müssen diese Programme auf DeFi-Exposition ausweiten. Die Position der FATF impliziert, dass die Regulierungsbehörden eine Überwachung von On-Chain-DeFi-Aktivitäten erwarten werden, nicht nur von Off-Ramp-Ereignissen. Dies hat direkte Auswirkungen darauf, wie Unternehmen ihre Software für die Bilanzierung digitaler Vermögenswerte konfigurieren: Die Transaktionsklassifizierung muss zwischen Trades an zentralisierten Börsen und Interaktionen mit DeFi-Protokollen unterscheiden, da sich das AML-Risikoprofil und die potenziellen Meldepflichten unterscheiden.
Zu den wichtigsten Schritten für AML-Programmaktualisierungen gehören: die Abbildung aller DeFi-Protokollinteraktionen in Kundenportfolios oder Unternehmens-Treasuries; die Bewertung, ob die Protokollbetreiber den FATF-Zentralisierungstest erfüllen; und die Dokumentation dieser Bewertung in der AML-Akte. Wenn ein Protokollbetreiber identifizierbar und in keiner relevanten Gerichtsbarkeit als VASP registriert ist, sollte diese Tatsache an den Compliance-Beauftragten und je nach Risikobereitschaft des Unternehmens an Rechtsberater eskalieren.
Prüfungs- und Finanzberichterstattungsimplikationen
Für Wirtschaftsprüfer führt die FATF-Position eine neue Überlegung zur Unternehmensfortführung und Eventualverbindlichkeit ein. Ein DeFi-Protokoll-Token, der von einem Prüfungskunden gehalten wird, kann eine Investition in ein Unternehmen darstellen, das nach dem Rahmenwerk der FATF als nicht registrierter Finanzintermediär tätig ist. Wenn die zuständige nationale Regulierungsbehörde Maßnahmen ergreift, um VASP-Verpflichtungen gegen diesen Protokollbetreiber durchzusetzen, könnte der Token-Wert und die Fähigkeit des Kunden, das Protokoll weiterhin zu nutzen, wesentlich beeinträchtigt werden.
Dies ist keine abwegige Hypothese. FATF-Mitgliedsstaaten haben die Durchsetzung im Kryptobereich zunehmend verschärft, wie aktuelle Maßnahmen in mehreren OECD-Märkten zeigen. Wirtschaftsprüfer sollten prüfen, ob die DeFi-Protokoll-Exposition eine spezifische Angabe im Anhang des Jahresabschlusses rechtfertigt, insbesondere bei Kunden, bei denen die Exposition im Verhältnis zum Nettovermögen wesentlich ist.
Aus Sicht der Krypto-Buchhaltungssoftware besteht die praktische Anforderung darin, dass jede DeFi-Interaktion mit ausreichenden Metadaten protokolliert werden muss, um eine spätere regulatorische Überprüfung zu unterstützen: der Protokollname, die Smart-Contract-Adresse, der Transaktionstyp (Swap, Liquiditätsbereitstellung, Kreditaufnahme, Staking), die ein- und ausgehenden Beträge und der Fair Value zum Transaktionsdatum. Wenn die derzeitigen Systeme des Kunden dieses Detailniveau nicht erfassen, ist die Schließung dieser Lücke jetzt eine Compliance-Priorität, nicht nur eine berichtstechnische Feinheit.
Das globale regulatorische Bild
Die Erklärung der FATF schafft kein direktes Gesetz, setzt aber die Erwartung, wie Mitgliedsstaaten ihre bestehenden VASP-Rahmenwerke auf DeFi auslegen und anwenden sollten. Mehrere OECD-Regulierungsbehörden hatten sich bereits vor der Erklärung vom Juli 2026 in diese Richtung bewegt. Die Erklärung gibt ihnen einen multilateralen Anker für Durchsetzungsmaßnahmen, die andernfalls als regulatorische Überschreitung angefochten werden könnten.
Implikationen für OECD-Länder
In der Europäischen Union erlegt die Markets in Crypto-Assets-Verordnung bereits Krypto-Dienstleistern Verpflichtungen auf, und die Europäische Bankenaufsichtsbehörde und die ESMA entwickeln technische Standards, die DeFi betreffen. Die FATF-Position steht im Einklang mit der Richtung der zukünftigen Überprüfungen von MiCA, die voraussichtlich prüfen werden, ob DeFi-Vereinbarungen in den regulierten Bereich einbezogen werden sollten. Wirtschaftsprüfungsgesellschaften, die EU-Kunden beraten, sollten diese Überprüfungen genau verfolgen.
Im Vereinigten Königreich hat die Financial Conduct Authority signalisiert, dass sie offen für die Regulierung von DeFi ist, wenn identifizierbare Betreiber existieren – eine Position, die direkt auf das Rahmenwerk der FATF abbildet. In den Vereinigten Staaten war die Debatte über die Regulierung von DeFi umstrittener, aber die verstärkte Position der FATF erhöht den internationalen Druck auf nationale politische Entscheidungsträger. Für Unternehmen mit grenzüberschreitender DeFi-Kundenexposition bedeutet das Flickwerk nationaler Umsetzungen, dass ein einzelnes Kundenmandat gleichzeitig mehrere regulatorische Regime betreffen kann.
Unternehmen sollten nicht darauf warten, dass ihre nationale Regulierungsbehörde spezifische DeFi-Leitlinien herausgibt, bevor sie handeln. Die FATF-Position ist klar genug, um jetzt eine umsichtige Risikobewertung zu informieren. Die Aktualisierung von Kunden-Onboarding-Fragebögen, die Erweiterung der AML-Transaktionsüberwachung auf DeFi-Aktivitäten und die Sicherstellung, dass die Software des Unternehmens für die Bilanzierung digitaler Vermögenswerte die für regulatorische Überprüfungen erforderlichen Metadaten erfasst, sind Schritte, die unternommen werden können, ohne auf eine nachholende nationale Gesetzgebung zu warten.
Praktische nächste Schritte für Unternehmen
Die FATF-Erklärung erfordert eine strukturierte Reaktion und keine abwartende Haltung. Nachfolgend finden Sie eine priorisierte Aktionsliste für Wirtschaftsprüfungsgesellschaften und CFOs.
Unmittelbare Maßnahmen Aktuell
Erstens, überprüfen Sie alle bestehenden und potenziellen Kunden, die eine Beteiligung an DeFi-Protokollen haben, sei es als Betreiber, Investoren oder Nutzer. Dokumentieren Sie die Art dieser Beteiligung und bewerten Sie, ob ein Kunde unter dem FATF-Zentralisierungstest als Betreiber eines VASP charakterisiert werden könnte.
Zweitens, prüfen Sie, ob Ihre AML-Richtlinie explizit die DeFi-Transaktionsüberwachung abdeckt. Die meisten vor 2024 verfassten AML-Richtlinien werden dies nicht tun. Ein Nachtrag oder eine aktualisierte Risikobewertung, die sich mit DeFi befasst, ist in den meisten FATF-Mitgliedsstaaten jetzt eine Mindestanforderung, nachdem die FATF ihre Position klargestellt hat.
Drittens, prüfen Sie Ihre Krypto-Buchhaltungssoftware-Konfiguration. Kann sie DeFi-Protokollinteraktionen getrennt von Trades an zentralisierten Börsen markieren? Zeichnet sie Smart-Contract-Adressen auf? Erfasst sie den Fair Value zum Transaktionsdatum für jedes DeFi-Ereignis? Wenn nicht, arbeiten Sie mit Ihrem Softwareanbieter zusammen, um diese Lücken zu schließen.
Viertens, informieren Sie Ihre Prüfungs- und Beratungsteams über die oben beschriebenen Aspekte der Unternehmensfortführung und Eventualverbindlichkeiten. Das Risiko ist nicht nur das Risiko des Kunden; es ist auch ein Berufshaftpflichtrisiko für das Unternehmen, wenn ein bekanntes regulatorisches Risiko nicht identifiziert und offengelegt wurde.
Häufig gestellte Fragen
Bedeutet die Position der FATF, dass alle DeFi-Protokolle nun als VASPs reguliert werden?
Nein. Die Position der FATF ist, dass DeFi-Protokolle, bei denen identifizierbare Personen oder Unternehmen Kontrolle oder ausreichenden Einfluss ausüben, als VASPs behandelt werden sollten. Protokolle, die wirklich dezentral sind und keine identifizierbare kontrollierende Partei haben, bleiben eine Grauzone, obwohl die FATF einräumt, dass solche Protokolle in der Praxis seltener vorkommen als die Branche vermuten lässt.
Wie wirkt sich dies auf den Kundenannahmeprozess einer Wirtschaftsprüfungsgesellschaft aus?
Unternehmen sollten DeFi-spezifische Fragen in ihre Onboarding-Fragebögen aufnehmen. Wenn ein Kunde ein DeFi-Protokoll betreibt, kontrolliert oder Gebühren daraus erzielt, muss das Unternehmen bewerten, ob dieser Kunde in einer relevanten Gerichtsbarkeit als nicht registrierter VASP tätig ist, bevor das Mandat angenommen oder fortgesetzt wird. Wenn das Risiko unklar ist, sollte Rechtsbeistand eingeschaltet werden.
Was bedeutet dies für die Transaktionsüberwachung in AML-Programmen?
AML-Programme, die derzeit nur Aktivitäten an zentralisierten Börsen überwachen, müssen auf DeFi-Interaktionen ausgeweitet werden. Die Position der FATF impliziert, dass die Regulierungsbehörden eine Überwachung von On-Chain-DeFi-Aktivitäten erwarten werden, nicht nur von Fiat-On- und Off-Ramp-Ereignissen. Die Software für die Bilanzierung digitaler Vermögenswerte sollte so konfiguriert sein, dass sie dieses Überwachungsniveau unterstützt, indem sie für jede DeFi-Transaktion Metadaten auf Protokollebene erfasst.
Gibt es Prüfungs-Offenlegungsimplikationen für Kunden mit DeFi-Token-Beständen?
Ja. Wenn ein Kunde Token in einem DeFi-Protokoll hält, dessen Betreiber möglicherweise als nicht registrierter VASP charakterisiert werden kann, sollten Wirtschaftsprüfer prüfen, ob diese Exposition eine Offenlegung als Eventualverbindlichkeit oder als Faktor der Unternehmensfortführung rechtfertigt, insbesondere wenn die Beteiligung wesentlich ist. Das Risiko besteht darin, dass Regulierungsmaßnahmen gegen den Protokollbetreiber die Fähigkeit des Kunden beeinträchtigen könnten, auf die Beteiligung zuzugreifen oder sie zu realisieren.
Welche Länder werden voraussichtlich zuerst auf die Position der FATF reagieren?
FATF-Mitgliedsstaaten mit aktiven Krypto-Regulierungsprogrammen werden am ehesten zu den ersten gehören, die handeln. Innerhalb der OECD sind die EU (durch MiCA-Überprüfungen und AMLA-Leitlinien), das Vereinigte Königreich (durch FCA-Durchsetzung) und Länder mit bestehenden VASP-Registrierungssystemen am besten positioniert, um schnell zu handeln. Unternehmen mit Kunden, die in mehreren OECD-Ländern tätig sind, sollten die Reaktion jedes nationalen Regulierers verfolgen, anstatt auf eine einzige globale Umsetzung zu warten.
Quelle: Decrypt