OFAC-Sanktionen gegen Krypto-Netzwerk nordkoreanischer IT-Mitarbeiter: Was Buchhaltungsfirmen und CFOs jetzt tun müssen

Am 27. August 2025 hat das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums einen russischen Staatsbürger und zwei weitere Unternehmen sanktioniert, weil sie Nordkoreas Übersee-IT-Mitarbeiter-Programm unterstützt haben, ein Programm, das Kryptowährungen als zentrale Finanzschiene nutzt, um die verbotenen Waffenaktivitäten des Regimes zu finanzieren. Für Buchhaltungsfirmen, Wirtschaftsprüfer und CFOs, die digitale Vermögenswerte verwalten, ist diese Maßnahme ein direktes Signal: Der Sanktionsbereich um krypto-bezogene Ströme aus Nordkorea wird erweitert, und Unternehmen, die sich nur auf traditionelle AML-Kontrollen verlassen, sind wahrscheinlich nicht ausreichend abgesichert.

Wer wurde sanktioniert und warum

Vitaliy Sergeyevich Andreyev

OFAC sanktionierte den russischen Staatsbürger Vitaliy Sergeyevich Andreyev, weil er Finanzströme im Auftrag der Chinyong Information Technology Cooperation Company ermöglichte. Chinyong ist eine nordkoreanische Einheit, die bereits von den USA und den Vereinten Nationen sanktioniert wurde, und sie operiert unter dem nordkoreanischen Verteidigungsministerium. Sie setzt IT-Mitarbeiter in Russland und Laos ein, um harte Währungserträge für das Regime zu generieren.

Nach Angaben des Finanzministeriums arbeitete Andreyev zusammen mit einem nordkoreanischen Konsularbeamten namens Kim Ung Sun daran, mehr als 600.000 US-Dollar in Kryptowährung in US-Dollar umzuwandeln. Diese Aktivität soll mindestens seit Dezember 2024 laufen. OFAC identifizierte im Rahmen der Sanktion eine mit Andreyev verbundene Kryptowährungsadresse und gab den Compliance-Teams damit einen konkreten On-Chain-Datenpunkt für das Screening.

Die zwei weiteren Unternehmen

Zusammen mit Andreyev wurden zwei Unternehmen auf die Sanktionsliste gesetzt. Die in China registrierte Shenyang Geumpungri Network Technology Co., Ltd. wurde als Scheinfirma identifiziert, die Chinyongs Operationen unterstützt und Deckung für nordkoreanische IT-Mitarbeiter-Delegationen bietet. Die Korea Sinjin Trading Corporation ist ein nordkoreanisches Staatsunternehmen, das dem General Political Bureau des Ministeriums für die Volksarmee unterstellt ist; sie diente als finanzieller Kanal innerhalb des größeren Netzwerks.

Die Einbeziehung eines in China registrierten Unternehmens ist bemerkenswert. Sie zeigt, dass mit Nordkorea verbundene Unternehmen nicht auf offensichtlich risikoreiche Jurisdiktionen beschränkt sind und dass Unternehmensstrukturen, die in kommerziell aktiven Standorten registriert sind, als Verschleierungsschichten dienen können.

Wie das System funktioniert

Das IT-Mitarbeiter-Modell

Nordkoreas Übersee-IT-Mitarbeiter-Programm platziert technisch qualifizierte Agenten in Unternehmen weltweit, auch in den USA, oft unter falschen Identitäten und mit gefälschten Dokumenten. Diese Mitarbeiter verdienen Löhne über legitime Beschäftigungskanäle. Die Löhne werden dann weitgehend vom nordkoreanischen Regime beschlagnahmt und für sanktionierte Aktivitäten, einschließlich der Waffenentwicklung, verwendet.

Das System ist in seiner Schichtung raffiniert. Mitarbeiter können über Drittanbieter-Plattformen, Personalagenturen oder Scheinfirmen eingestellt werden, was es für Arbeitgeber und ihre Finanzteams schwierig macht, den letztendlichen Begünstigten von Gehaltszahlungen zu identifizieren. In einigen Fällen haben mit Nordkorea verbundene Agenten auch Malware in Kundennetzwerken eingesetzt, um geistiges Eigentum zu stehlen, was sowohl das rechtliche als auch das operationelle Risiko für betroffene Organisationen erhöht.

Die Krypto-zu-Fiat-Umwandlungsschicht

Kryptowährung ist zentral dafür, wie dieses System Geld über Grenzen bewegt. Im Fall Andreyev wurden digitale Vermögenswerte durch eine Person, die direkten Kontakt zu einer sanktionierten nordkoreanischen Einheit hatte, in US-Dollar umgewandelt. Dieser Krypto-zu-Fiat-Schritt ist genau die Art von Transaktion, die traditionelle Bankkontrollen schwer erkennen, weil der Fiat-Ausgang oft sauber erscheint, wenn er eine Korrespondenzbank oder einen Zahlungsdienstleister erreicht.

Over-the-Counter (OTC)-Broker und informelle Konvertierungsnetzwerke werden häufig verwendet, um diese Schicht auszuführen. Eine frühere OFAC-Maßnahme am 8. Juli 2025, die eine separate Person betraf, die beschuldigt wird, Millionen gestohlener Kryptowährungen über Scheinfirmen und OTC-Broker gewaschen zu haben, zeigt, dass OFAC diese Infrastruktur systematisch kartiert und abbaut.

Implikationen für Buchhaltung und Prüfung

Sanktionsexposition ist nicht auf direkte Gegenparteien beschränkt

Das US-Sanktionsrecht gilt für die meisten Verstöße auf einer strikten Haftungsbasis. Das bedeutet, dass eine Buchhaltungsfirma oder eine Unternehmensfinanzabteilung nicht über eine Nordkorea-Verbindung wissen musste, um haftbar zu sein; die Transaktion mit einer sanktionierten Partei oder mit einer Partei, die sich mehrheitlich im Besitz einer sanktionierten Partei befindet, reicht aus. Das Chinyong-Netzwerk zeigt, wie diese Exposition indirekt entstehen kann: Ein Kunde beauftragt einen Entwickler, der Entwickler wird von einer Scheinfirma platziert, und die Scheinfirma leitet Löhne an eine sanktionierte Einheit weiter.

Für Firmen, die digitale Asset-Buchhaltungssoftware oder Krypto-Buchhaltungssoftware verwenden, um Kundentransaktionen zu erfassen, besteht die praktische Implikation darin, dass das Wallet-Screening in Transaktionsabläufe eingebettet werden muss und nicht als einmalige Onboarding-Prüfung behandelt werden sollte. Eine Wallet, die beim Kunden-Onboarding sauber war, kann später mit einer neu sanktionierten Adresse in Verbindung gebracht werden.

Was die von OFAC identifizierte Krypto-Adresse für das Screening bedeutet

OFACs Veröffentlichung der Kryptowährungsadresse, die mit Andreyev verbunden ist, gibt compliance-fokussierten Firmen einen umsetzbaren Datenpunkt. Jede Firma oder jeder Kunde, der mit dieser Adresse Transaktionen durchgeführt hat, Mittel von ihr erhalten oder Mittel an sie gesendet hat, sollte sofort eine Überprüfung durchführen. Die Überprüfung sollte abdecken, ob eine freiwillige Selbstoffenlegung gegenüber OFAC angemessen ist und ob die Transaktion gemäß den bestehenden Verpflichtungen des Bank Secrecy Act gemeldet werden sollte, falls das Unternehmen den Status eines Finanzinstituts hat.

Für Firmen, die noch keine automatisierte Wallet-Screening in ihre Workflows für digitale Asset-Buchhaltungssoftware integriert haben, macht diese Maßnahme die Lücke sichtbar. Manuelle, periodische Listenprüfungen sind unzureichend, wenn OFAC-Designierungen jederzeit neue Adressen hinzufügen können.

Sorgfaltspflicht bei Vertragnehmern und Gehaltsabrechnung

Der IT-Mitarbeiter-Aspekt schafft eine zusätzliche Prüfungsdimension, die über finanzielle Transaktionen hinausgeht. Wenn die Kunden einer Firma freiberufliche oder vertragliche Softwareentwickler beschäftigen, insbesondere über Online-Plattformen oder zwischengeschaltete Personalagenturen, besteht das Risiko, dass einige dieser Arbeiter als Teil eines von Nordkorea gesteuerten Netzwerks operieren. Die Lohnzahlungen selbst, ob in Krypto oder Fiat, könnten eine Sanktionsverletzung darstellen.

Prüfer, die Kunden mit erheblichen Ausgaben für Technologie-Vertragnehmer überprüfen, sollten in Betracht ziehen zu fragen, ob bei der Einarbeitung eine Identitätsprüfung durchgeführt wurde, ob Zahlungskanäle gegen aktualisierte Sanktionslisten überprüft wurden und ob ungewöhnliche Muster im Entwicklerverhalten, wie Anfragen für Zugriff über ihre angegebene Rolle hinaus, dokumentiert wurden.

AML- und KYC-Verpflichtungen ausgelöst

Erweiterte Sorgfaltspflicht für krypto-aktive Kunden

Finanzinstitute, Gelddienstleistungsunternehmen und Anbieter virtueller Vermögenswerte, die unter den Anforderungen des US Bank Secrecy Act operieren, sind bereits verpflichtet, Verdachtsmeldungen einzureichen, wenn sie Aktivitäten erkennen, die mit Sanktionsumgehung übereinstimmen. Die Andreyev-Designierung fügt ein spezifisches Verhaltensmuster hinzu, auf das man achten sollte: Krypto-zu-Fiat-Umwandlungsaktivitäten, die aus Russland, China oder Südostasien stammen oder darüber geleitet werden und mit IT-Sektorzahlungen verbunden sind.

Für Buchhaltungsfirmen, die krypto-aktive Kunden beraten, ist die Pflicht eher beratend als direkt regulatorisch, aber das Reputations- und Rechtsrisiko, eine Transaktion zu ermöglichen, die später eine OFAC-Durchsetzungsmaßnahme auslöst, ist real. Erweiterte Sorgfaltspflicht-Überprüfungen von Kunden mit Exposition gegenüber diesen geografischen Gebieten und Zahlungsmustern sollten priorisiert werden.

On-Chain-Intelligenz als Compliance-Werkzeug

Die Maßnahme unterstreicht, warum On-Chain-Analysen eine notwendige Ergänzung zu standardmäßigen AML-Kontrollen geworden sind. Blockchain-Intelligenz-Tools können Verhaltensüberschneidungen zwischen Wallets identifizieren, Adressen bekannten Einheiten zuordnen und indirekte Exposition aufdecken, die eine einfache Namensüberprüfung übersehen würde. OFACs Identifizierung einer spezifischen Adresse in dieser Designierung ist ein Einstiegspunkt in einen breiteren Transaktionsgraphen, den Compliance-Teams verfolgen müssen, nicht nur ein einzelner Datenpunkt, der blockiert werden muss.

Firmen, die sich als Spezialisten für digitale Asset-Buchhaltungssoftware und Compliance-Beratung positionieren, sollten Kunden erklären können, wie On-Chain-Screening in ihr breiteres AML-Programm integriert ist. Kunden, die diese Frage nicht kohärent beantworten können, repräsentieren ein eskalierendes Risikoprofil.

Praktische Schritte für Buchhaltungsfirmen und CFOs

Sofortmaßnahmen

Die folgenden Schritte sollten nach dieser Designierung unverzüglich unternommen werden:

• Screenen Sie alle aktiven und aktuellen digitalen Asset-Wallet-Adressen gegen den neu veröffentlichten OFAC-Identifikator und gegen die SDN-Liste insgesamt, einschließlich Adressen, die mit Chinyong und verbundenen Unternehmen verbunden sind.
• Überprüfen Sie Vertragnehmer-Onboarding-Datensätze für alle Technologiemitarbeiter, die mindestens seit Dezember 2024 eingestellt wurden, und prüfen Sie die Qualität der Identitätsprüfung und die Zahlungsweiterleitung.
• Stellen Sie sicher, dass Krypto-Buchhaltungssoftware-Workflows automatisiertes Echtzeit-Screening von Sanktionen umfassen, nicht nur periodische manuelle Prüfungen.
• Informieren Sie kundennahe Partner über den Bedrohungsvektor von IT-Mitarbeitern, damit sie es proaktiv mit Kunden ansprechen können, die bedeutende Technologie-Vertragnehmerpopulationen beschäftigen.

Mittelfristige Kontrollen

Über das unmittelbare Screening hinaus weist diese Maßnahme auf strukturelle Lücken hin, die Firmen in den kommenden Monaten angehen sollten. Sanktionsklauseln in Mandatsschreiben und Dienstleistungsverträgen sollten explizit digitale Asset-Transaktionen und Vertragnehmer-Zahlungsströme abdecken. Interne AML-Richtlinien sollten aktualisiert werden, um das nordkoreanische IT-Mitarbeiter-Muster als eine benannte Red-Flag-Typologie zu erwähnen. Und Firmen sollten bestätigen, dass ihre digitale Asset-Buchhaltungssoftware aktualisierte Sanktionslisten kontinuierlich aufnehmen und betroffene Transaktionen ohne manuelle Eingriffe zur Überprüfung kennzeichnen kann.

Das Muster der OFAC-Maßnahmen im Jahr 2025, einschließlich der Juli-Designierung eines separaten nordkorea-verbundenen Geldwäsche-Netzwerks, deutet darauf hin, dass weitere Designierungen in diesem Bereich wahrscheinlich sind. Compliance-Frameworks, die für die aktuelle Durchsetzungsumgebung gebaut wurden, müssen skalierbar sein. Für den Kontext, wie breitere Trends bei Wirtschaftskriminalität mit Krypto-Durchsetzung zusammenhängen, sehen Sie unsere Berichterstattung über Trends bei Wirtschaftskriminalität, die Buchhaltungsfirmen nicht ignorieren können. Firmen, die das volle Ausmaß des Krypto-Sanktionsprogramms des Finanzministeriums verfolgen, sollten auch unsere frühere Analyse der US-Finanzministerium-Sanktionen gegen iranische Firmen, die Bitcoin akzeptieren überprüfen, die zeigt, wie OFAC krypto-spezifische Designierungen gleichzeitig in mehreren geografischen Gebieten anwendet.

Häufig gestellte Fragen

Ist eine Buchhaltungsfirma OFAC-haftbar, wenn ein Kunde unwissentlich einen mit Nordkorea verbundenen IT-Mitarbeiter bezahlt hat?

Möglicherweise ja. OFAC-Sanktionen gelten für US-Personen auf strikter Haftungsbasis, was bedeutet, dass für einen Verstoß keine Absicht erforderlich ist. Wenn eine Zahlung, sei es in Krypto oder Fiat, letztendlich einer sanktionierten Einheit wie Chinyong zugutegekommen ist, könnte die Firma oder ihr Kunde ein Durchsetzungsrisiko tragen. Eine freiwillige Selbstoffenlegung gegenüber OFAC, zusammen mit Nachweisen über Abhilfemaßnahmen, kann ein mildernder Faktor sein, erfordert jedoch sofortiges Handeln, sobald die Exposition identifiziert ist.

Was bedeutet die Veröffentlichung einer Krypto-Adresse durch OFAC praktisch?

Es bedeutet, dass jede US-Person oder Organisation, die der US-Gerichtsbarkeit unterliegt und mit dieser Adresse Transaktionen durchführt, Gelder dorthin sendet oder von dort empfängt, nach dem Datum der Designierung potenziell gegen Sanktionen verstößt. Firmen sollten diese Adresse sofort über alle Kundentransaktionshistorien screenen und bewerten, ob Übereinstimmungen eine Meldung oder freiwillige Offenlegung erfordern.

Wie sollten CFOs das Risiko von Technologie-Vertragnehmern bewerten, die über Drittanbieter-Plattformen eingestellt werden?

CFOs sollten von jedem Personalvermittler oder jeder Plattform, die zur Einstellung von Technologie-Vertragnehmern verwendet wird, eine Dokumentation der Identitätsprüfungsverfahren anfordern. Verträge sollten Zusicherungen enthalten, dass die Mitarbeiter keinen Sanktionen unterliegen. Zahlungskanäle, einschließlich Krypto-Wallets, die für die Vergütung von Vertragnehmern verwendet werden, sollten beim Onboarding und danach regelmäßig gegen die SDN-Liste von OFAC gescreent werden.

Ist diese Maßnahme für Firmen ohne direkte US-Operationen relevant?

Ja. Transaktionen in US-Dollar, Zugang zum US-Finanzsystem und die Beteiligung einer US-Person in einer Transaktionskette können Nicht-US-Firmen in die Gerichtsbarkeit von OFAC bringen. Darüber hinaus gilt das UN-Sanktionsregime, das nordkoreanische Umgehungsmechanismen verletzen, global. Firmen in jeder Jurisdiktion, die digitale Asset-Ströme mit Exposition gegenüber Russland, China oder Südostasien verwalten, sollten diese Designierung als direkt relevant behandeln.

Wie oft sollte das Wallet-Screening nach einer neuen OFAC-Designierung aktualisiert werden?

Best Practice ist kontinuierliches oder nahezu Echtzeit-Screening für aktive Transaktionsabläufe. Mindestens sollten Firmen ihre Screening-Listen innerhalb von 24 Stunden nach einer neuen OFAC-Designierung aktualisieren und rückwirkende Überprüfungen auf aktuelle Transaktionshistorien durchführen. Die Abhängigkeit von wöchentlichen oder monatlichen Batch-Updates schafft ein Fenster unentdeckter Exposition, das OFAC-Durchsetzungsteams konsequent als Compliance-Versagen statt als mildernden Faktor behandelt haben.

Quelle: TRM Labs