OFAC-Direktorin Gacki: Krypto-Sanktionsrisiken sind real und wachsen
Die Leiterin der Sanktionsdurchsetzungsbehörde des US-Finanzministeriums hat der Kryptoindustrie eine unmissverständliche Warnung zukommen lassen: Die Pflichten zur Einhaltung von Sanktionen gelten vollumfänglich für Unternehmen im Bereich digitaler Vermögenswerte, und die OFAC wartet nicht darauf, dass die Branche aufholt. In einem Gespräch mit David Carlisle von Elliptic legte OFAC-Direktorin Andrea Gacki die aktuelle Haltung der Behörde zu Privacy Coins, unhosted Wallets, Ransomware und Mining dar. Die Botschaft ist klar: Dokumentieren Sie Ihre Risiken, prüfen Sie Ihre Geschäftspartner und seien Sie bereit, beides nachzuweisen.
Wer ist Andrea Gacki und warum ist dieses Gespräch wichtig
Andrea Gacki leitet das Office of Foreign Assets Control, die Einheit im US-Finanzministerium, die für die Verwaltung und Durchsetzung der US-Wirtschafts- und Handelssanktionen zuständig ist. OFAC-Sanktionen betreffen praktisch jedes Finanzinstitut und jedes Zahlungsunternehmen, das irgendeine Verbindung zu den Vereinigten Staaten hat, sei es durch Abwicklung in US-Dollar, US-Geschäftspartner oder Mitarbeiter, die US-Personen sind. Für Krypto-Unternehmen ist diese Reichweite größer, als viele annehmen.
Die Äußerungen von Direktorin Gacki erfolgten im Rahmen der Financial Regulator Crypto and Coffee Series von Elliptic, einem öffentlichen Dialog zwischen Regulierungsbehörden und Privatwirtschaft. Dies war die erste Ausgabe, und die Wahl der OFAC als Eröffnungsteilnehmer zeigt, wie zentral die Sanktionsdurchsetzung inzwischen auf der Krypto-Compliance-Agenda steht. Zudem wurde eine Folgeveranstaltung mit Clara Chiu angekündigt, der Director of Licensing und Head of Fintech der Hong Kong Securities and Futures Commission, was die globale Dimension dieses regulatorischen Vorstoßes unterstreicht.
Die vier zentralen Compliance-Anforderungen der OFAC
Die Ausführungen von Direktorin Gacki lassen sich zu vier konkreten Erwartungen an die Kryptoindustrie verdichten. Jede hat praktische Konsequenzen für Compliance-Teams, CFOs und die Wirtschaftsprüfungsgesellschaften, die sie beraten.
1. Erklären Sie, wie Sie undurchsichtige Transaktionen handhaben
Krypto-Unternehmen müssen der OFAC klar und konkret nachweisen können, wie sie Sanktionsrisiken steuern, wenn die Identität oder der Standort eines Geschäftspartners nicht bestimmt werden kann. Die beiden häufigsten Szenarien in dieser Kategorie sind Transaktionen mit unhosted Wallets und Transaktionen mit Privacy Coins. Wenn ein Nutzer über eine unhosted Wallet verbindet, hat das Unternehmen oft keine direkte KYC-Beziehung zum Kontrolleur dieser Wallet. Bei einer Privacy Coin reicht die Blockchain-Analyse möglicherweise nicht aus, um Mittelzuflüsse zu einem bekannten Geschäftspartner zurückzuverfolgen.
Die OFAC verlangt nicht, dass Unternehmen alle derartigen Transaktionen rundweg ablehnen. Sie verlangt, dass sie eine dokumentierte, verteidigungsfähige Richtlinie zur Bewertung des Risikos haben, das diese Transaktionen darstellen, und dass sie diese Richtlinie konsequent anwenden.
2. Nehmen Sie die strikte Haftung ernst
Das US-Sanktionsrecht beruht auf dem Prinzip der strikten Haftung. Das bedeutet, dass die OFAC zivilrechtliche Geldbußen verhängen kann, selbst wenn ein Unternehmen nicht wusste, dass es mit einer sanktionierten Partei zu tun hatte. Das ist nicht kryptospezifisch, aber besonders relevant in einem Bereich, in dem pseudonyme Adressen, datenschutzverbessernde Tools und grenzüberschreitende Zahlungsströme die Identifizierung von Geschäftspartnern wirklich erschweren.
Direktorin Gacki betonte, dass der Umgang mit Privacy Coins oder die Ermöglichung von Transaktionen mit unhosted Wallets das Sanktionsrisikoprofil eines Unternehmens erhöht, gerade weil diese Merkmale die Identifizierung von Geschäftspartnern erschweren. Das erhöhte Risiko begründet kein pauschales Verbot, verlangt aber ein strengeres Kontrollumfeld. Bei der OFAC gibt es ein Programm zur freiwilligen Selbstoffenlegung, und eine starke Compliance-Kultur ist ein mildernder Faktor bei Geldbußenentscheidungen, doch keines von beiden ersetzt die zugrunde liegenden Kontrollen.
3. Übernehmen Sie Screening-Praktiken aus dem Bankensektor
Die OFAC erkennt an, dass die Kryptoindustrie auf die etablierten Screening-Rahmenwerke zurückgreifen kann und sollte, die im traditionellen Bankwesen bereits verwendet werden. Sanktionsscreening im Bankwesen umfasst typischerweise Echtzeit- oder Nahezu-Echtzeit-Prüfungen von Transaktionen gegen die SDN-Liste (Specially Designated Nationals) der OFAC sowie Prüfungen von Korrespondenzbankbeziehungen, Jurisdiktionsrisiken und Transaktionsmonitoring auf Typologien, die mit Sanktionsumgehung verbunden sind.
Der Punkt ist nicht, dass Krypto-Unternehmen Bankprozesse eins zu eins nachbilden sollten; Technologie und Transaktionsstrukturen unterscheiden sich erheblich. Der Punkt ist, dass die zugrunde liegenden Risikoprinzipien, Identifizierung von Geschäftspartnern, Screening gegen designierte Listen, Monitoring auf Warnsignale, Anwendung verstärkter Sorgfalt bei erhöhtem Risiko, direkt auf den Krypto-Kontext übertragbar sind. Unternehmen, die bereits in Krypto-Buchhaltungssoftware und Software für die Buchhaltung digitaler Vermögenswerte mit integrierten Compliance-Modulen investiert haben, sind besser positioniert, diese Kontrollen auf Transaktionsebene zu operationalisieren.
4. Dokumentieren Sie Risiken speziell bei Mining und Ransomware
Die OFAC erwartet, dass Krypto-Unternehmen eine schriftliche Risikobewertung führen, die die spezifischen Sanktionsrisiken ihrer jeweiligen Aktivitäten abdeckt. Zwei Aktivitäten wurden ausdrücklich genannt: Mining und Ransomware. Mining-Betriebe können Block-Belohnungen oder Transaktionsgebühren von Adressen erhalten, die mit sanktionierten Akteuren verbunden sind. Ransomware-Zahlungen wurden in der Vergangenheit an Wallets geleitet, die von sanktionierten Gruppen oder Einheiten in sanktionierten Jurisdiktionen kontrolliert wurden. Eine allgemeine AML-Risikobewertung reicht nicht aus; sie muss den tatsächlichen Produkt- und Transaktionsmix des Unternehmens widerspiegeln.
Für Wirtschaftsprüfungsgesellschaften, die Krypto-native Mandanten beraten, ist dies ein direktes Signal, dass die Risikobewertung auf Vorstandsebene ein reguliertes Dokument ist und keine interne Governance-Nettigkeit. Sie sollte mindestens jährlich überprüft, aktualisiert werden, wenn die OFAC neue Designierungen vornimmt, die für das Geschäft des Mandanten relevant sind, und zur Einsichtnahme verfügbar sein.
Geopolitischer Kontext: Warum diese Warnung timely ist
Die Äußerungen von Direktorin Gacki fielen mit einer Entwicklung zusammen, die genau die Art von Sanktionsumgehungsdruck veranschaulichte, die die OFAC steuert: Die iranische Regierung erlaubte damals, Importe mit Krypto zu bezahlen, eine Maßnahme, die darauf abzielte, Sanktionsbeschränkungen zu umgehen. Dies passt zu einem breiteren Muster, bei dem sanktionierte Staaten und nichtstaatliche Akteure Krypto-Schienen als alternatives Abwicklungsmechanismus nutzen, wenn traditionelle Kanäle verschlossen sind.
Für Compliance-Teams ist dieser Kontext in zweierlei Hinsicht wichtig. Erstens bestätigt er, dass der Fokus der OFAC auf Krypto durch reale operative Umgehungsversuche getrieben ist, nicht durch theoretisches Risiko. Zweitens unterstreicht er, dass sich Sanktionslisten und die Bedrohungslage schneller entwickeln als jährliche Überprüfungszyklen. Unternehmen benötigen nahezu kontinuierliches Monitoring, keine Momentaufnahmen.
Auch die breitere südostasiatische Dimension dieses regulatorischen Moments ist erwähnenswert. Hongkong und Thailand hatten einen aktiven grenzüberschreitenden CBDC-Pilotversuch laufen, während die Nationalbank Kambodschas einen Pilotversuch ihres blockchainbasierten Bakong-Einzelhandelszahlungsnetzwerks durchführte. Das Wachstum krypto-naher Infrastruktur in der Region vergrößert die Angriffsfläche für Sanktionsrisiken, insbesondere wenn Geschäftspartner in diesen Jurisdiktionen Mittel über datenschutzwahrende Mechanismen leiten.
Buchhaltungs- und operative Implikationen für B2B-Unternehmen
Was das für Wirtschaftsprüfungsgesellschaften und CFOs bedeutet
Für Wirtschaftsprüfungsgesellschaften mit Krypto-Mandanten übersetzen sich die Äußerungen von Direktorin Gacki in mehrere konkrete Beratungspflichten. Mandanten benötigen dokumentierte, vom Vorstand genehmigte Sanktionsrisikobewertungen, die ihren spezifischen Produktmix widerspiegeln. Sie benötigen Sanktionsscreening-Kontrollen, die auf Transaktionsebene eingebettet sind, nicht nur beim Onboarding. Und sie benötigen eine verteidigungsfähige Dokumentation darüber, wie sie Transaktionen gehandhabt haben, bei denen die Identität des Geschäftspartners unklar war.
CFOs in Krypto-Unternehmen sollten OFAC-Compliance als Risiko für die Finanzberichterstattung behandeln, nicht nur als juristisches Risiko. Ein Sanktionsverstoß kann zu zivilrechtlichen Geldbußen, Reputationsschäden und in schweren Fällen zum Verlust von Bankbeziehungen führen. Jedes dieser Ergebnisse hat direkte Auswirkungen auf die Bilanz. Die Kosten des Kontrollumfelds sind fast immer niedriger als die Kosten einer Geldbuße, und robuste Krypto-Buchhaltungssoftware, die Geschäftspartnerdaten erfasst und risikoreiche Transaktionsmuster kennzeichnet, ist ein Kernbestandteil dieses Kontrollumfelds.
Es lohnt sich auch, die Schnittstelle zwischen OFAC-Maßnahmen und dem Verhalten von Stablecoin-Emittenten zu beobachten. Wie der Hintergrund zu der jüngsten Stablecoin-Freeze-Durchsetzungsmaßnahme des Treasury zeigt, kooperieren Stablecoin-Emittenten bereits mit Strafverfolgungsbehörden, um Transaktionen im Zusammenhang mit illegalen Aktivitäten rückgängig zu machen und einzufrieren. Diese Kooperation erzeugt einen Papierpfad, den die OFAC in ihren eigenen Untersuchungen nutzen kann, was bedeutet, dass die Exposition nicht auf die direkt transagierende Partei beschränkt ist.
Die Risikobewertung als lebendiges Dokument
Die Erwartung der OFAC an eine dokumentierte Risikobewertung ist keine einmalige Übung. Sie muss neue Designierungen, neue Produktmerkmale (wie die Aufnahme einer Privacy Coin in die Notierung einer Börse), Änderungen der geografischen Exposition des Unternehmens und aufkommende Typologien wie die von Direktorin Gacki speziell angesprochenen Ransomware-Zahlungsrisiken berücksichtigen. Die Einrichtung eines Überprüfungsrhythmus im Compliance-Kalender mit Verantwortlichkeit bei einer benannten Person oder Funktion ist die Mindesterwartung.
Für Unternehmen, die Mandanten unter dem Blickwinkel beraten, wie US-Krypto-Regeln auf politische Haltbarkeit getestet werden, ist die OFAC-Dimension ein wichtiges Gegengewicht: Unabhängig vom gesetzgeberischen Ergebnis leitet sich die Befugnis der OFAC aus dem International Emergency Economic Powers Act und dem Trading with the Enemy Act ab, die beide weit außerhalb der kryptospezifischen Regulierungsdebatten stehen. Die Sanktionsdurchsetzung der OFAC wird nicht durch einen Ansatzwechsel bei einer anderen US-Finanzaufsicht zurückgenommen.
Praktische nächste Schritte für Compliance-Teams
Die Äußerungen von Direktorin Gacki gehen nicht mit neuer formeller Leitlinie einher, aber sie signalisieren klar, wo der Prüfungsschwerpunkt der OFAC liegt. Teams sollten fünf Prioritäten umsetzen:
- Die schriftliche Sanktionsrisikobewertung überprüfen und aktualisieren, um Privacy-Coin-Exposition, Transaktionsvolumina mit unhosted Wallets, Mining-Betriebe und ransomware-nahe Aktivitäten im Kundenstamm abzudecken.
- Bestätigen, dass Sanktionsscreening auf Transaktionsebene läuft, nicht nur beim Kunden-Onboarding, und dass die SDN-Liste und andere OFAC-Listen nach einem Zeitplan aktualisiert werden, der widerspiegelt, wie häufig die OFAC neue Designierungen vornimmt.
- Ein Entscheidungsprotokoll für Transaktionen erstellen und dokumentieren, bei denen Identität oder Standort des Geschäftspartners nicht bestimmt werden können, einschließlich Kriterien für Ablehnung, verstärkte Sorgfalt und Eskalation.
- Sicherstellen, dass die für die Erfassung von Transaktionen verwendete Software für die Buchhaltung digitaler Vermögenswerte auch die Compliance-Metadaten erfasst, die benötigt werden, um einen Sanktionsscreening-Datensatz für jede einzelne Transaktion zu rekonstruieren.
- Die Richtlinie zur freiwilligen Selbstoffenlegung überprüfen und sicherstellen, dass relevante Mitarbeiter wissen, wann und wie sie sie nutzen, da eine zeitnahe Offenlegung ein anerkannter mildernder Faktor im zivilrechtlichen Geldbußenrahmen der OFAC ist.
Keiner dieser Schritte erfordert das Warten auf neue Regulierung. Der rechtliche Rahmen ist bereits vorhanden. Was die OFAC verlangt, ist der Nachweis, dass Unternehmen ihn anwenden.
Häufig gestellte Fragen
Bedeutet der strikte Haftungsstandard der OFAC, dass ein Unternehmen bestraft werden kann, selbst wenn es keine Ahnung hatte, dass ein Geschäftspartner sanktioniert war?
Ja. Nach dem zivilrechtlichen Geldbußenrahmen der OFAC gilt für die meisten Sanktionsverstöße die strikte Haftung, was bedeutet, dass keine Absicht erforderlich ist, um eine Geldbuße zu verhängen. Die OFAC berücksichtigt jedoch mildernde Faktoren, darunter die Stärke eines Compliance-Programms, freiwillige Selbstoffenlegung und Kooperation während einer Untersuchung. Diese Faktoren können die Höhe einer Geldbuße reduzieren, die Haftung aber nicht aufheben.
Sind Privacy Coins für US-Unternehmen nach den OFAC-Regeln verboten?
Die OFAC hat kein pauschales Verbot von Privacy Coins erlassen. Was Direktorin Gacki klarstellte, ist, dass der Umgang mit Privacy Coins das Sanktionsrisikoprofil eines Unternehmens erhöht, weil sie die Identifizierung und Prüfung von Geschäftspartnern erschweren. Unternehmen, die mit Privacy Coins handeln, benötigen ein entsprechend stärkeres Kontrollumfeld und eine dokumentierte Risikobewertung, um nachzuweisen, dass sie dieses erhöhte Risiko steuern.
Was muss eine konforme OFAC-Risikobewertung für ein Krypto-Unternehmen abdecken?
Die OFAC erwartet, dass die Bewertung die spezifischen Aktivitäten des Unternehmens widerspiegelt. Das bedeutet, die Sanktionsrisiken jeder Produktlinie zu adressieren, einschließlich etwaiger Mining-Betriebe, ransomware-naher Aktivitäten im Kundenstamm, Exposition gegenüber Privacy Coins sowie Umfang und Art von Transaktionen mit unhosted Wallets. Eine allgemeine Finanzkriminalitäts-Risikobewertung, die diese kryptospezifischen Faktoren nicht adressiert, wird die Erwartungen der OFAC voraussichtlich nicht erfüllen.
Wie verhält sich der OFAC-Ansatz zu Krypto-Sanktionen zu den Regeln für traditionelle Banken?
Direktorin Gacki deutete an, dass Krypto-Unternehmen auf die Screening- und Risikomanagement-Rahmenwerke zurückgreifen können, die im traditionellen Bankwesen bereits etabliert sind, und sie an den Krypto-Kontext anpassen. Die zugrunde liegenden Prinzipien, Identifizierung von Geschäftspartnern, Listen-Screening, Transaktionsmonitoring und verstärkte Sorgfalt bei risikoreicheren Aktivitäten, gelten gleichermaßen. Die technische Umsetzung unterscheidet sich, weil Krypto-Transaktionen anders strukturiert sind, aber die Risikologik ist dieselbe.
Betrifft diese OFAC-Leitlinie Unternehmen außerhalb der Vereinigten Staaten?
Ja, in mehrfacher Hinsicht. Die Zuständigkeit der OFAC erstreckt sich auf US-Personen, wo immer sie sich befinden, auf Transaktionen, die in US-Dollar abgewickelt werden, und auf jede Einheit mit US-Nexus. Nicht-US-Krypto-Unternehmen mit US-Investoren, US-Mitarbeitern oder US-Geschäftspartnern oder die US-Dollar-Stablecoin-Transaktionen verarbeiten, können in den Anwendungsbereich der OFAC fallen. Unternehmen in asiatisch-pazifischen Märkten, einschließlich Hongkong, Malaysia, Thailand und Kambodscha, sollten ihren US-Nexus sorgfältig bewerten und nicht annehmen, dass die OFAC nur ein inneramerikanisches Thema ist.
Quelle: Elliptic