Russische Staatsakteure nutzen USDT und Telegram zur Finanzierung von Sabotage in Europa

Eine vom Institute for Strategic Dialogue (ISD) veröffentlichte Studie bestätigt, was viele im Bereich Finanzkriminalität schon lange befürchtet haben: Stablecoin-Zahlungen, insbesondere USDT, werden inzwischen von russisch verbundenen Akteuren genutzt, um junge Menschen in ganz Europa für Gewalttaten und Sabotage anzuwerben. Für Wirtschaftsprüfungsgesellschaften, Abschlussprüfer und CFOs mit Engagement in digitalen Vermögenswerten ist das kein Hintergrundrauschen. Es handelt sich um eine aktuelle Typologie, die die Anforderungen an AML-Kontrollen, die Meldung verdächtiger Aktivitäten und die Leistungsfähigkeit jeder Krypto-Buchhaltungssoftware, mit der diese Ströme verwaltet oder geprüft werden, unmittelbar erhöht.

Was die ISD-Studie ergab

Die ISD-Forschung identifizierte ein Netzwerk von Telegram-Gruppen, intern als „com networks“ bezeichnet, in denen Teilnehmer durch das Hochladen schädlicher oder gewalttätiger Inhalte um Status konkurrieren. Die Forscher fanden Hinweise auf Unterstützung durch russische Staatsstellen, die durch Teile dieses Netzwerks verliefen, wobei die Organisatoren laut Studie etablierte russische Rekrutierungsmethoden für sogenannte „disposable agents“ nachahmten, die für Gewalttaten im Ausland eingesetzt werden.

Krypto-Zahlungen kommen ins Spiel

Der Autor der Studie, Steven Rai, stellte fest, dass russisch verbundene Telegram-Chats begonnen haben, Kryptowährungen als Bezahlung für bestimmte Handlungen, darunter Brandstiftung, anzubieten. Er bezeichnete diese kryptodenominierten Zahlungen innerhalb der com networks als „völlig neu“, was einen bewussten taktischen Wandel hin zur Nutzung pseudonymer digitaler Vermögenswerte zur Verschleierung der Finanzierungskette signalisiert. In einem dokumentierten Fall wurden einem 22-jährigen ukrainischen Staatsangehörigen Berichten zufolge USDT im Wert von mehreren Tausend Dollar angeboten, im Gegenzug für die Durchführung von Angriffen, die Medienaufmerksamkeit erregen sollten.

Bereits im Vereinigten Königreich dokumentierte Vorfälle

Zwei Vorfälle, die gefilmt und in diesen Netzwerken geteilt wurden, wurden bis ins Vereinigte Königreich zurückverfolgt. Ein Clip zeigte eine Person, die ein Fahrzeug einer Pflegekraft zerstörte. Ein zweiter schien dieselbe Person zu zeigen, wie sie einen Ziegelstein durch ein Wohnungsfenster warf. Unabhängig davon verhaftete die ukrainische Polizei eine Woche nach diesen Vorfällen zwei Jungen im Alter von 11 und 15 Jahren, die angeblich einen Schulangriff mit Waffen und Sprengstoff planten und Berichten zufolge im Auftrag der Russischen Föderation handelten.

Verbindungen zu rechtsextremen und staatlich konstruierten Gruppen

Ein Dachkollektiv, das mehrere com networks zusammenführt, beansprucht ein einziges Ziel: gesellschaftliches Chaos zu verursachen. Eine Komponente dieses Kollektivs hat sich mit Direct Action solidarisiert, einer rechtsextremen Gruppe, die das ISD als russisch konstruiert beschreibt. Dieselbe Gruppe wurde mit dem Brandanschlag auf das Haus des ehemaligen britischen Premierministers Sir Keir Starmer in Verbindung gebracht. Die Verwendung eines Stablecoins in diesem Zusammenhang ist bedeutsam: Sie ermöglicht es einem Handler, Werte grenzüberschreitend und nahezu augenblicklich ohne Bankintermediär und mit begrenzter anfänglicher Rückverfolgbarkeit zu übertragen, genau die Eigenschaften, die USDT für diese Art verdeckter Rekrutierungsoperation attraktiv machen.

Warum das für Krypto-Compliance-Teams wichtig ist

Die ISD-Erkenntnisse stellen einen konkreten, dokumentierten Fall der Stablecoin-Nutzung in dem dar, was Regulierungsbehörden als Terrorismusfinanzierung oder staatlich geförderte Sabotageaktivität einstufen würden. Diese Einordnung hat direkte regulatorische Konsequenzen für Virtual Asset Service Providers (VASPs), Börsen, Verwahrer und die Unternehmen, die sie prüfen oder beraten.

Der FATF- und EU-AML-Rahmen

Nach Empfehlung 15 der Financial Action Task Force sind VASPs verpflichtet, risikobasierte AML- und Maßnahmen zur Bekämpfung der Terrorismusfinanzierung (CTF) auf alle Übertragungen virtueller Vermögenswerte anzuwenden. Die überarbeitete EU-Geldtransferverordnung, die im Begleitpaket zum Rahmenwerk für Märkte in Krypto-Werten (MiCA) aktualisiert wurde, dehnt die Travel Rule auf Krypto-Transfers aus, sodass bei USDT-Übertragungen oberhalb der Schwelle Angaben zu Auftraggeber und Begünstigtem mitgeführt werden müssen. Fehlen diese Daten oder sind sie gefälscht, was bei einer verdeckten Rekrutierungszahlung mit hoher Wahrscheinlichkeit der Fall wäre, wickelt der empfangende VASP eine potenziell sanktionsrelevante Transaktion ab, ohne es zu wissen.

Genau in diesem Szenario werden Lücken in der Buchhaltungssoftware für digitale Vermögenswerte zum Haftungsrisiko. Wenn die Krypto-Buchhaltungssoftware eines Unternehmens keine Eingänge von unhosted Wallets aus Hochrisikoländern markieren kann, keine Abgleichung von Gegenparteiadressen mit OFAC-, HM-Treasury- oder EU-Sanktionslisten in nahezu Echtzeit ermöglicht und keine Prüfpfade erzeugen kann, die eine Verdachtsmeldung (SAR) stützen, ist sie für dieses Bedrohungsumfeld strukturell unzureichend vorbereitet.

Sanktionsrisiko ist real und bilateral

Russland unterliegt umfangreichen Sanktionsregimen in der EU, im Vereinigten Königreich und in den USA. Jedes Unternehmen, das versehentlich eine USDT-Zahlung verarbeitet, weiterleitet oder verbucht, die auf einen sanktionierten russischen Staatsakteur oder eine in seinem Auftrag handelnde Einheit zurückgeführt werden kann, ist potenziell einer verschuldensunabhängigen Haftung nach diesen Regimen ausgesetzt. Die Verteidigung „Ich wusste es nicht“ hat im Sanktionsrecht nur sehr begrenztes Gewicht: Die Durchsetzungspolitik von OFAC macht beispielsweise deutlich, dass selbst nicht vorsätzliche Verstöße zivilrechtliche Geldbußen nach sich ziehen können. Das britische Office of Financial Sanctions Implementation (OFSI) arbeitet mit einem ähnlichen Rahmen.

Das ist nicht hypothetisch. Das ISD hat die Zahlungen als Tatsache dokumentiert. Compliance-Beauftragte und ihre Berater sollten sich jetzt fragen, ob ihre Transaktionsüberwachungssysteme eine USDT-Überweisung über mehrere Tausend Dollar von einer unhosted Wallet an eine Gegenpartei in Osteuropa erkannt, zur Prüfung markiert und die für eine SAR-Meldung erforderliche Dokumentation erzeugt hätten.

Auswirkungen auf Rechnungswesen und Abschlussprüfung

Über die regulatorische Compliance-Dimension hinaus gibt es praktische buchhalterische und prüfungsrelevante Konsequenzen für Unternehmen, die mit digitalen Vermögenswerten umgehen, und für die Praxen, die sie betreuen.

Transaktionsklassifizierung und Mittelherkunft

Sowohl nach IFRS als auch nach UK GAAP hängt die buchhalterische Behandlung eines Krypto-Zugangs von seiner Klassifizierung ab: Vorräte, immaterieller Vermögenswert oder Finanzinstrument, je nach Geschäftsmodell des Unternehmens. Doch bevor die Klassifizierung überhaupt relevant wird, muss die Mittelherkunft festgestellt werden. Wenn ein USDT-Eingang nicht auf einen legitimen kommerziellen oder Investitionsursprung zurückgeführt werden kann, kann er nicht sicher als Umsatz oder Vermögenswert erfasst werden. Ein Unternehmen, das USDT erhält, die später mit einem sanktionierten Akteur in Verbindung gebracht werden, muss diese Gelder möglicherweise einfrieren und melden, statt sie zu verbuchen.

Für Abschlussprüfer erhöht dies die Pflicht zur erweiterten Prüfung. ISA 240 (Betrugsrisiko) und ISA 250 (Gesetze und Vorschriften) verlangen von Prüfern, zu beurteilen, ob Mandanten über angemessene Kontrollen verfügen, um Transaktionen zu erkennen und zu verhindern, die geltendes Recht verletzen. Im Kontext digitaler Vermögenswerte bedeutet das, dass Prüfer verstehen müssen, ob die Krypto-Buchhaltungssoftware des Mandanten die On-Chain-Forensikdaten, die Wallet-Zuordnung und das Gegenparteirisiko-Scoring erzeugt, die für diese Beurteilung erforderlich sind. Ist das nicht der Fall, liegt eine berichtspflichtige Kontrollschwäche vor.

Wie gute Praxis derzeit aussieht

Die ISD-Erkenntnisse machen dies zu einem günstigen Zeitpunkt für Wirtschaftsprüfungsgesellschaften und CFOs, eine strukturierte Lückenanalyse ihrer bestehenden AML-Infrastruktur für digitale Vermögenswerte durchzuführen. Die wichtigsten Fragen sind unten aufgeführt.

• Deckt Ihre Transaktionsüberwachung auch Eingänge von unhosted Wallets ab, nicht nur Börse-zu-Börse-Ströme?
• Werden USDT-Überweisungen zum Zeitpunkt des Eingangs gegen aktuelle Sanktionslisten geprüft, statt über Nacht im Batch verarbeitet?
• Kann Ihre Buchhaltungssoftware für digitale Vermögenswerte einen Prüfpfad auf Transaktionsebene exportieren, der eine SAR-Einreichung stützt?
• Ist Ihr Team darin geschult, Typologien mit kleinen oder fragmentierten USDT-Zahlungen von Telegram-verbundenen Gegenparteien zu erkennen?
• Spiegeln Ihre Auftragsschreiben und Mandanten-Risikobewertungen das erhöhte Risiko wider, das mit Stablecoin-Strömen in oder aus Hochrisikoländern verbunden ist?

Keine dieser Fragen ist im Prinzip neu. Neu ist, dass das ISD nun einen laufenden, operativen Fall dokumentiert hat, in dem USDT die bevorzugte Zahlungsschiene für staatlich verbundene Akteure ist, die Sabotageoperationen auf europäischem Boden durchführen. Das verschiebt die Risikorechnung von theoretisch zu belegt.

Das breitere Stablecoin-AML-Muster

Dieser Fall steht nicht isoliert. Forscher und Regulierungsbehörden haben zunehmend dokumentiert, dass USDT, insbesondere im TRON-Netzwerk, der dominierende Stablecoin in risikoreichen und illegalen Strömen weltweit ist. Die ISD-Erkenntnisse fügen eine neue und besonders alarmierende Dimension hinzu: die Nutzung von Stablecoins durch staatliche Akteure zur Finanzierung hybrider Kriegsführung über eine verbrauchernahe Messaging-Plattform, deren Zahlungsfunktionen nur minimale KYC-Anforderungen haben.

Für Unternehmen, die ihre Krypto-Compliance-Infrastruktur aufbauen, unterstreicht dies, warum generische AML-Rahmenwerke, die für das Fiat-Bankwesen entwickelt wurden, nicht ausreichen. Die Geschwindigkeit, Pseudonymität und grenzüberschreitende Reichweite von USDT-Überweisungen erfordern zweckgebundene Kontrollen, die in die Krypto-Buchhaltungssoftware und die täglichen Buchhaltungsabläufe des Unternehmens integriert sein müssen, nicht nachträglich angeflanscht werden dürfen. Mehr darüber, wie Terrorismusfinanzierung zu USDT auf TRON migriert, und einen Überblick über Sanktionsprüfungspflichten nach den Regeln der Blockchain-Analytik finden Sie im Kontext der sich abzeichnenden regulatorischen Erwartungen.

Regulierungsbehörden in der EU und im Vereinigten Königreich haben signalisiert, dass die Durchsetzungsaktivitäten zunehmen werden, sobald die vollständigen AML-Bestimmungen von MiCA in Kraft treten. Die ISD-Studie gibt Compliance- und Prüfungsfachleuten eine konkrete, dokumentierte Fallstudie an die Hand, an der sie ihre internen Risikobewertungen und Mandantengespräche ausrichten können. Sie sollte als Aufforderung zum Handeln gelesen werden, nicht als Grund zu warten.

Häufig gestellte Fragen

Schafft diese ISD-Studie neue rechtliche Pflichten für Krypto-Unternehmen?

Die Studie selbst schafft kein neues Recht. Sie dokumentiert jedoch eine aktuelle Typologie mit USDT-Zahlungen im Zusammenhang mit Aktivitäten sanktionierter Staaten. Regulierungsbehörden und Financial Intelligence Units werden dokumentierte Typologien wie diese nutzen, um zu beurteilen, ob VASPs und ihre Berater über angemessene risikobasierte Kontrollen verfügen. Unternehmen, die keine Kenntnis dieser Typologie und keine Kontrollen dafür nachweisen können, können bei Aufsichtsprüfungen verstärkt unter die Lupe genommen werden.

Welche OFSI- und EU-Sanktionsfolgen ergeben sich, wenn eine USDT-Zahlung eines russisch verbundenen Akteurs die Wallet eines Unternehmens erreicht?

Sowohl OFSI im Vereinigten Königreich als auch die entsprechenden EU-Behörden wenden bei Sanktionsverstößen verschuldensunabhängige Rahmenwerke an. Ein Unternehmen, das Gelder im Zusammenhang mit einer designierten Person oder Einheit empfängt, weiterleitet oder verbucht, kann zivilrechtlichen Geldbußen ausgesetzt sein, selbst ohne Kenntnis des Verstoßes. Die Pflicht besteht darin, Systeme zu haben, die solche Transaktionen erkennen können, bevor sie verarbeitet werden. Eine unverzügliche freiwillige Offenlegung und ein nachweislich robustes Kontrollumfeld gelten in Durchsetzungsentscheidungen als mildernde Faktoren.

Wie sollten Abschlussprüfer diese Typologie bei einem Mandat mit digitalen Vermögenswerten behandeln?

Nach ISA 240 und ISA 250 müssen Abschlussprüfer bei jedem Mandat das Betrugsrisiko und die Einhaltung von Gesetzen beurteilen. Bei Mandanten, die USDT halten oder damit transagieren, sollten Prüfer Nachweise dafür verlangen, dass die Buchhaltungssoftware für digitale Vermögenswerte des Mandanten eine Zuordnung auf Wallet-Ebene und Sanktionsprüfungsunterlagen erzeugt. Fehlen diese Unterlagen oder sind sie unvollständig, stellt das eine berichtspflichtige Kontrollschwäche und je nach Wesentlichkeit möglicherweise eine Umfangsbeschränkung dar.

Warum wird speziell USDT und nicht andere Kryptowährungen hervorgehoben?

Die Bindung von USDT an den US-Dollar macht sie zur bevorzugten Rechnungseinheit für verdeckte Zahlungen, da der Empfänger genau weiß, was er in fiatäquivalenten Werten erhält, wodurch das Volatilitätsrisiko entfällt. Sie ist zudem auf Netzwerken verfügbar, insbesondere TRON, wo Transaktionsgebühren extrem niedrig und der Durchsatz hoch sind, was kleine, häufige Zahlungen für einen Handler, der mehrere Rekruten über Jurisdiktionen hinweg betreut, operativ praktikabel macht.

Was verlangt die Travel Rule für USDT-Überweisungen nach MiCA-bezogener Gesetzgebung?

Die überarbeitete EU-Geldtransferverordnung, die parallel zu MiCA gilt, verlangt, dass USDT-Überweisungen oberhalb der Schwelle verifizierte Angaben zu Auftraggeber und Begünstigtem mitführen. Stammen Überweisungen von unhosted Wallets, gilt erhöhte Sorgfaltspflicht. Ein VASP, der eine USDT-Zahlung verarbeitet, ohne diese Informationen einzuholen und aufzubewahren, verstößt gegen die Verordnung und ist Aufsichtsmaßnahmen ausgesetzt.

Source: Protos