Nordkorea leitet gestohlene Kryptos über Kriminalitätsnetzwerke: Was Bilanzierungsfirmen und CFOs jetzt bewerten müssen

Ein Bericht des Royal United Services Institute (RUSI) vom 11. August 2026 kommt zu dem Schluss, dass Nordkorea die Art und Weise, wie es gestohlene Kryptowährungen in nutzbare Gelder umwandelt, grundlegend verändert hat. Statt sich ausschließlich auf staatlich kontrollierte Infrastruktur und eigene operative Mitarbeiter zu verlassen, leiten mit der Demokratischen Volksrepublik Korea (DVRK) verbundene Akteure illegale digitale Vermögenswerte nun über etablierte organisierte Kriminalitätsnetzwerke. Für Bilanzierungsfirmen, Wirtschaftsprüfer und CFOs mit jeglicher Exposition gegenüber Kryptotransaktionen bringt diese Verschiebung direkte AML- und Sanktionsimplikationen mit sich, die nicht aufgeschoben werden können.

Was der RUSI-Bericht tatsächlich sagt

RUSI, ein in London ansässiger Think Tank für Verteidigung und Sicherheit, ist eine der wenigen Forschungseinrichtungen mit anhaltendem analytischem Zugang zu Geheimdienstinformationen über staatlich geförderte Finanzkriminalität. Die Erkenntnisse vom August 2026 stellen eine bemerkenswerte Weiterentwicklung gegenüber früheren Bewertungen der nordkoreanischen Krypto-Diebstahl-Strategie dar.

Von internen Pipelines zu ausgelagerten Netzwerken

Frühere Analysen nordkoreanischer Krypto-Diebstähle, einschließlich derer, die mit der Lazarus-Gruppe in Verbindung gebracht werden, konzentrierten sich stark auf interne Fähigkeiten: speziell entwickelte Malware, kompromittierte Börsenkonten und eine relativ begrenzte Reihe von On-Chain-Geldwäschetechniken wie Chain-Hopping und Mixing. Der RUSI-Bericht zeigt, dass sich das Modell verschoben hat. Mit der DVRK verbundene Akteure verlassen sich nun auf bestehende transnationale Kriminalitätsorganisationen, um wesentliche Teile des Geldwäscheprozesses abzuwickeln.

Die praktische Konsequenz ist, dass Gelder aus staatlich geförderten Hacks in Geldwäsche-Pipelines gelangen können, die auch Erlöse aus Drogenhandel, Betrug und anderen kriminellen Aktivitäten transportieren. Die beiden Ströme werden absichtlich vermischt, was die Zuordnung erschwert und herkömmliche Herkunftsprüfungen als alleinige Kontrolle unzuverlässiger macht.

Warum die Änderung für Finanzinstitute relevant ist

Als die DVRK ihre Geldwäscheinfrastruktur direkter betrieb, waren die On-Chain-Signaturen relativ charakteristisch. Blockchain-Analysefirmen und Regulierungsbehörden hatten Muster identifiziert. Durch die Auslagerung an Kriminalitätsnetzwerke kauft sich die DVRK quasi Verschleierung als Dienstleistung. Die schmutzigen Gelder werden mit einem größeren und vielfältigeren Pool illegaler Erlöse vermischt, und die Gegenparteien, auf die Compliance-Teams stoßen, weisen möglicherweise keine offensichtlichen DVRK-Indikatoren in irgendeiner Screening-Datenbank auf.

Das bedeutet nicht, dass Screening nutzlos ist. Es bedeutet, dass Screening allein unzureichend ist und dass Firmen es mit verhaltensbasierter und transaktionsbezogener Analyse ergänzen müssen, die auf Muster mit mehreren Akteuren kalibriert ist.

Der regulatorische und sanktionsrechtliche Kontext

Die RUSI-Erkenntnisse treffen auf ein bereits verschärftes Durchsetzungsumfeld. OFAC hat umfassende Sanktionen gegen die DVRK aufrechterhalten und ausgeweitet, und diese Sanktionen gelten für US-Personen und in vielen Fällen auch für Nicht-US-Unternehmen mit US-Bezug. Die Exposition gegenüber DVRK-bezogenen Geldern, selbst unwissentlich, kann Strafen mit Gefährdungshaftung auslösen. Unternehmen können sich im Rahmen der Gefährdungshaftung von OFAC nicht auf Vorsatz als Verteidigung berufen.

FATF und die Travel Rule

Die Financial Action Task Force (FATF) hat die DVRK seit langem unter den Jurisdiktionen aufgeführt, die zu einem Handlungsaufruf aufgefordert sind – ihre Einstufung mit dem höchsten Risiko –, die eine verstärkte Due Diligence von allen Finanzinstituten der Mitgliedsländer erfordert. Die Travel Rule, die von Anbietern virtueller Vermögenswerte verlangt, bei Transfers über einem Schwellenwert Informationen über Auftraggeber und Begünstigten zu übermitteln, ist genau die Art von Kontrolle, die entscheidend wird, wenn Geldwäsche mehrere Sprünge über verschiedene Dienstleister und Jurisdiktionen umfasst. Wenn ein Glied in dieser Kette die erforderlichen Daten nicht erfasst oder weitergibt, wird die Undurchsichtigkeit, die die DVRK jetzt ausnutzt, verstärkt.

EU- und MiCA-Implikationen

Im Rahmen der Markets in Crypto-Assets Regulation (MiCA) unterliegen in der EU zugelassene Krypto-Asset-Dienstleister der vollen Last des EU-AML-Rahmens. Die EU-Behörde zur Bekämpfung von Geldwäsche (AMLA), die 2025-2026 operativ wird, wird direkte Aufsichtsbefugnisse über hochriskante CASPs haben. Ein Ergebnis wie das von RUSI, das signalisiert, dass DVRK-bezogene Gelder durch Netzwerke fließen könnten, die oberflächlich wie gewöhnliche kriminelle Organisationen aussehen, untermauert die Begründung für den grenzüberschreitenden Aufsichtsauftrag der AMLA. In der EU ansässige Firmen sollten diesen Bericht als Anlass nehmen, zu überprüfen, ob ihre erweiterten Due-Diligence-Auslöser für Korridore mit hohem Risiko angemessen eingestellt sind.

Bilanzierungs- und Prüfungsimplikationen

Die Verschiebung in der nordkoreanischen Geldwäschemethodik hat Konsequenzen, die über Compliance-Teams hinausgehen. Sie reicht bis in die Bilanzierungs- und Prüfungsarbeit, die Praktiker für Krypto-native Kunden, Börsen und Unternehmen, die digitale Vermögenswerte halten, durchführen.

Dokumentation der Geldherkunft

Wenn eine Firma Krypto-Bilanzierungssoftware verwendet, um digitale Vermögenszuflüsse abzugleichen, erfasst die Software On-Chain-Daten, kann aber von sich aus nicht beurteilen, ob die Gegenpartei ein Front für ein Kriminalitätsnetzwerk ist, das DVRK-Gelder schichtet. Die menschliche Urteilsfindung, konkret die Due-Diligence-Akte neben dem Hauptbucheintrag, wird zur kritischen Kontrolle. Buchhalter sollten Kunden um Dokumentation der Geldherkunft für wesentliche Zuflüsse bitten, nicht nur beim Onboarding, sondern regelmäßig und anlassbezogen. Ein großer oder ungewöhnlicher Zufluss von einer Gegenpartei, die nicht leicht erklärt werden kann, ist eine rote Flagge, die eine Eskalation rechtfertigt, unabhängig davon, was die Blockchain-Analyse zurückgibt.

Rückstellungen und Eventualverbindlichkeiten

Wenn eine Firma durch eine Verdachtsmeldung oder eine regulatorische Anfrage erfährt, dass von ihr verarbeitete Gelder möglicherweise mit Sanktionsumgehung durch die DVRK in Verbindung stehen, stellt sich sofort die bilanzielle Frage, ob eine Rückstellung oder eine Eventualverbindlichkeitsangabe nach IFRS oder US GAAP erforderlich ist. Nach IAS 37 wird eine Rückstellung erfasst, wenn eine gegenwärtige Verpflichtung besteht, ein Abfluss wahrscheinlich ist und der Betrag zuverlässig geschätzt werden kann. Eine formelle OFAC-Untersuchung würde typischerweise die ersten beiden Tests erfüllen; der dritte erfordert die Einbeziehung von Rechtsberatern. Wirtschaftsprüfer, die Abschlüsse von Unternehmen mit erheblichen Krypto-Transaktionsvolumina prüfen, sollten das Management ausdrücklich fragen, ob regulatorische Anfragen zu Sanktionen oder AML laufen.

Going-Concern-Überlegungen

Für kleinere Krypto-Dienstleister kann eine OFAC-Durchsetzungsmaßnahme oder eine langwierige AML-Untersuchung die Überlebensfähigkeit gefährden. Wirtschaftsprüfer sollten das erhöhte Risikoumfeld im Zusammenhang mit der DVRK in ihre Going-Concern-Bewertungen einbeziehen, insbesondere wenn das Gegenparteien-Netzwerk eines Kunden Hochrisiko-Jurisdiktionen oder unregulierte Vermittler umfasst.

Praktische Schritte für Firmen und CFOs

Der RUSI-Bericht verlangt nicht, dass Firmen ihr gesamtes AML-Programm über Nacht umstellen. Er verlangt eine gezielte Neubewertung bestimmter Kontrollen.

Überprüfung der Kalibrierung der Transaktionsüberwachung

Wenn Ihre Regeln zur Transaktionsüberwachung hauptsächlich darauf kalibriert sind, direkte Interaktionen mit DVRK-Wallets zu erkennen, könnten sie die geschichteten Muster mit mehreren Sprüngen, die ausgelagerte Geldwäsche charakterisieren, übersehen. Arbeiten Sie mit Ihrem Compliance-Team zusammen, um bestehende Regeln gegen Szenarien mit mehreren Zwischen-Wallets und gemischten Herkunftsgeldern zu testen. Ziel ist es zu ermitteln, ob Ihre aktuellen Schwellenwerte und Typologien diese Muster aufdecken würden oder durchlassen.

Stärkung der Due Diligence bei Krypto-Zuflüssen

Erweiterte Due Diligence sollte nicht nur Gegenparteien vorbehalten sein, die bereits auf einer Beobachtungsliste stehen. Die RUSI-Erkenntnis impliziert, dass einige Gegenparteien auf keiner Liste erscheinen, da es sich um legitim erscheinende Vermittler handelt, die von Kriminalitätsnetzwerken genutzt werden. Verhaltensindikatoren wie inkonsistente Erklärungen zu Geldherkünften, häufige Wallet-Wechsel oder Transaktionsmuster, die nicht dem angegebenen Geschäftszweck entsprechen, sollten im Risikobewertungsmodell stärker gewichtet werden.

Koordination zwischen Bilanzierung und Compliance

Eine strukturelle Schwachstelle in vielen Firmen ist, dass das Team, das die Krypto-Buchhaltungssoftware und Hauptbuchabstimmung verwaltet, getrennt vom Compliance-Team arbeitet, das AML-Überwachung durchführt. Wenn diese beiden Funktionen nicht in Echtzeit Informationen austauschen, kann ein verdächtiger Zufluss gebucht werden, ohne die erforderliche Compliance-Prüfung auszulösen. Die Einrichtung eines klaren Eskalationsprotokolls, damit das Buchhaltungsteam ungewöhnliche Zuflüsse vor der vollständigen Verbuchung an die Compliance melden kann, ist eine kostengünstige, wertvolle Prozessverbesserung.

Firmen, die bereits die Implikationen der OFAC-Sanktionsmaßnahmen gegen Krypto-Gegenparteien geprüft haben, erkennen dieses Muster wieder: Die Compliance-Last kommt nicht nur über formelle Designationslisten, sondern auch über die Gegenparteien-Netzwerke, die diese designierten Einheiten nutzen. Ähnlich veranschaulicht die in Bybits Klage und Vermögensbeschlagnahme gegen die Lazarus-Gruppe dokumentierte Erfahrung, wie schnell eine Firma in DVRK-bezogene Verfahren verwickelt werden kann, sobald gestohlene Gelder ihre Infrastruktur berührt haben.

Kundenrisikobewertungen aktualisieren

Jeder Kunde, dessen Geschäft erhebliche Krypto-Transaktionsvolumina umfasst, insbesondere über Jurisdiktionen mit schwächeren AML-Rahmenwerken, sollte seine Risikobewertung angesichts der RUSI-Erkenntnisse überprüfen lassen. Das ist keine Abhakübung; es ist die Art von dokumentierter, begründeter Neubewertung, die ein Regulator oder Prüfer erwarten wird, falls später Fragen aufkommen. Digitale Asset-Bilanzierungssoftware kann dies unterstützen, indem sie Gegenparteien-Transaktionszusammenfassungen generiert, aber das Risikourteil selbst muss von einem qualifizierten menschlichen Prüfer getroffen werden.

Was als Nächstes zu beobachten ist

Der RUSI-Bericht ist ein Forschungsergebnis, kein regulatorisches Instrument. Er schafft für sich genommen keine neuen rechtlichen Verpflichtungen. Aber Forschung dieser Art fließt routinemäßig in spätere regulatorische Leitlinien, Durchsetzungsprioritäten und Typologien ein, die von Stellen wie FATF, FinCEN und der EU-AMLA veröffentlicht werden. Firmen sollten beobachten, ob eine dieser Stellen in den Monaten nach dieser Veröffentlichung aktualisierte DVRK-spezifische Leitlinien herausgibt und ob OFAC oder OFSI Maßnahmen ergreifen, um einige der in der RUSI-Forschung identifizierten Kriminalitätsnetzwerk-Vermittler zu designieren.

Der breitere Trend ist klar: Staatlich geförderter Krypto-Diebstahl wird schwerer zu erkennen, gerade weil die dahinterstehenden Akteure investieren, um es wie gewöhnliche organisierte Kriminalität aussehen zu lassen. Die Compliance- und Bilanzierungsreaktion muss entsprechend anspruchsvoller werden, über einfaches Watchlist-Screening hinaus hin zu einem verhaltensbasierten, geschichteten und funktionsübergreifenden Ansatz.

Quelle: Decrypt

Häufig gestellte Fragen

Schafft der RUSI-Bericht neue rechtliche Verpflichtungen für Bilanzierungsfirmen?

Nein. RUSI ist eine unabhängige Forschungseinrichtung, kein Regulator. Seine Erkenntnisse ändern keine bestehende AML-Gesetzgebung und schaffen keine neuen Meldepflichten. Sie liefern jedoch wichtigen Kontext, den Regulatoren und Durchsetzungsbehörden bei der Veröffentlichung aktualisierter Typologien oder Leitlinien verwenden, und Firmen sollten den Bericht als Anlass betrachten, bestehende Kontrollen zu überprüfen, nicht als Auslöser für neue rechtliche Verpflichtungen.

Wie wirkt sich die Nutzung von Kriminalitätsnetzwerken durch die DVRK auf die OFAC-Exposition aus?

OFAC-Sanktionen gegen die DVRK sind umfassend und gelten auf Basis der Gefährdungshaftung für US-Personen, was bedeutet, dass Vorsatz keine Verteidigung darstellt. Wenn eine Firma unwissentlich Gelder verarbeitet, die durch ein von der DVRK genutztes Kriminalitätsnetzwerk geflossen sind, kann sie dennoch Durchsetzungsrisiken ausgesetzt sein. Die wichtigste Abschwächung ist der Nachweis eines robusten, dokumentierten Compliance-Programms, einschließlich erweiterter Due Diligence, Transaktionsüberwachung und eines klaren Eskalationsprozesses für verdächtige Aktivitäten.

Was sollte Krypto-Bilanzierungssoftware tun, was sie allein nicht kann?

Software für digitale Asset-Bilanzierung ist sehr effektiv bei der Erfassung von On-Chain-Transaktionsdaten, dem Abgleich von Wallet-Salden und der Erstellung prüfungsbereiter Hauptbucheinträge. Sie kann von sich aus das Risikoprofil einer Gegenpartei nicht bewerten oder feststellen, ob Gelder durch ein Kriminalitätsnetzwerk geflossen sind. Firmen müssen menschliche Due-Diligence-Beurteilung, AML-Risikobewertung und Compliance-Prüfung über die Daten legen, die ihre Buchhaltungstools produzieren.

Sollten Wirtschaftsprüfer ihren Ansatz bei Krypto-haltenden Kunden nach diesem Bericht ändern?

Wirtschaftsprüfer sollten das erhöhte Risikoumfeld in ihre Planung einbeziehen. Konkret sollten sie das Management fragen, ob regulatorische Anfragen zu AML oder Sanktionen laufen, beurteilen, ob Rückstellungen oder Eventualverbindlichkeiten nach IAS 37 oder ASC 450 erforderlich sind, und erwägen, ob das mit der DVRK verbundene Geldwäscherisiko materiell genug ist, um Going-Concern-Bewertungen für Kunden mit hoher Exposition gegenüber Krypto-Transaktionsströmen zu beeinflussen.

Ist dieses Risiko auf Börsen und Verwahrer beschränkt oder erstreckt es sich auch auf Unternehmen, die Krypto halten?

Jede Einrichtung, die Kryptowährungen empfängt, hält oder überträgt, kann exponiert sein, wenn die empfangenen Gelder durch eine mit der DVRK verbundene Geldwäsche-Pipeline geflossen sind. Das Risiko ist am höchsten für Einrichtungen, die häufig mit einer breiten Palette von Gegenparteien Transaktionen durchführen, wie Börsen, Zahlungsabwickler und Teilnehmer an DeFi-Protokollen, aber Unternehmen, die Krypto in ihren Treasury-Bilanzen halten, sind nicht immun, insbesondere wenn sie OTC-Desks oder Peer-to-Peer-Mechanismen für den Erwerb nutzen.