„Stern“ sanktioniert: Was die Trickbot-Maßnahme für Krypto-Buchhaltung und AML-Compliance bedeutet

Am 13. Juli 2026 kündigten das Office of Foreign Assets Control (OFAC) der Vereinigten Staaten, das Office of Financial Sanctions Implementation (OFSI) des Vereinigten Königreichs und die Europäische Union eine der größten koordinierten Cyber-Sanktionsmaßnahmen aller Zeiten an. Das Hauptziel: Vitaly Nikolayevich Kovalev, alias „Stern“, identifiziert als Administrator des Trickbot-Kriminalnetzwerks und weithin beschrieben als möglicherweise der produktivste Ransomware-Betreiber, der je sanktioniert wurde. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs, die Krypto-Buchhaltungssoftware betreiben oder Krypto-exponierte Mandantenportfolios verwalten, sind die Auswirkungen unmittelbar und praktisch.

Wer wurde sanktioniert und warum das wichtig ist

Die Maßnahme ist sowohl wegen ihrer Breite als auch wegen ihrer mehrschichtigen, länderübergreifenden Koordination bemerkenswert. Das Verständnis der spezifischen Sanktionen ist der erste Schritt zum Verständnis der Compliance-Pflichten, die daraus resultieren.

Vitaly Kovalev, alias „Stern“

Kovalev ist ein russischer Staatsbürger und eine führende Figur innerhalb der Trickbot-Gruppe, des kriminellen Netzwerks hinter den Ransomware-Stämmen Ryuk, Conti, Diavol, Karakurt, Royal, 3AM, Quantum und Bitpaymer. Er wurde erstmals im Februar 2023 von OFAC und OFSI sanktioniert, aber die EU-Maßnahme vom Juli 2026 ist das erste Mal, dass eine Sanktionsbehörde „Stern“ formell als Alias in die Sanktion aufgenommen hat, was eine entscheidende Verbindung für Blockchain-Analysten und Compliance-Teams darstellt.

Mit Kovalev verbundene Wallets haben mehr als 300 Millionen US-Dollar an Lösegeldzahlungen erhalten. Entscheidend ist, dass diese Zahl nur seinen persönlichen Anteil an den Trickbot-Erlösen darstellt, nicht die Gesamtsumme des Netzwerks, die wesentlich höher ist. Die Blockchain-Analyse von Kovalevs On-Chain-Aktivitäten zeigt, dass er gleichzeitig mit mehreren Ransomware-Stämmen transagierte und auch Zahlungen an Teammitglieder für Infrastrukturwartung, Lieferantendienste und operative Beschaffung leitete. Geleakte interne Conti-Kommunikation, allgemein bekannt als „Conti Leaks“, bestätigt, dass Stern auf CEO-Ebene fungierte: Er kontrollierte das Budget des Netzwerks, überwachte Einstellungen und genehmigte Angriffsplanung.

OFAC-Sanktionen: 1VPNS, Rashevskyi und Silayev

In einer parallelen Maßnahme sanktionierte OFAC den First VPN Service (1VPNS), einen VPN-Anbieter, dessen Hauptkundenstamm Ransomware-Akteure umfasst. Sein Administrator, Dmytro Rashevskyi, und ein Kryptor-Anbieter, Yevgeniy Vladimirovich Silayev, wurden zusammen mit dem Dienst sanktioniert. OFAC veröffentlichte Kryptowährungs-Wallet-Adressen, die mit 1VPNS und Rashevskyi verbunden sind, über acht Blockchains: Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana. Die Sanktion folgte einer Abschaltung der Website und Infrastruktur von 1VPNS durch die europäische Strafverfolgung, mit Unterstützung des Boston Field Office des FBI.

EU-Sanktionen: LummaC2, Media Land LLC, GRU-Einheit 29155 und Hacktivistengruppen

Die EU-Maßnahme ging über Kovalev hinaus und umfasste ein breiteres Ökosystem von Ransomware-Begünstigern. Die LummaC2-Infostealer-Entwickler Maksim Voronin und Maksim Gordienko wurden sanktioniert. Ihre Malware-as-a-Service-Plattform gehörte 2024 und 2025 zu den am weitesten verbreiteten Infostealer-Tools weltweit und war in der Lage, Browser-Anmeldeinformationen, Krypto-Wallet-Daten und Systeminformationen zu sammeln. LummaC2 war bereits in einer koordinierten Aktion des US-Justizministeriums, des Europäischen Zentrums für Cyberkriminalität von Europol und des japanischen Cybercrime Control Center ab Mai 2025 gestört worden.

Media Land LLC, ein russischer Bullet-Proof-Hosting-Anbieter, wurde ebenfalls sanktioniert. Das Unternehmen ist seit 2016 tätig und hat LockBit, EvilCorp und BlackBasta-Ransomware-Gruppen Infrastruktur bereitgestellt, indem es Hosting-Dienste anbietet, die speziell darauf ausgelegt sind, Strafverfolgungsmaßnahmen zu widerstehen. Sein Eigentümer, Alexander Volosovik, wurde namentlich genannt. Media Land war bereits im November 2025 auf der OFAC-Liste erschienen.

Akteure mit russischer Staatsnähe sind ebenfalls Teil der EU-Sanktionen, darunter Mitglieder der GRU-Einheit 29155. Evgeniy Bashev, identifiziert als Mitglied der GRU-Einheit 29155, wird ausdrücklich für die Abwicklung von Infrastrukturzahlungen und die Koordinierung der Zusammenarbeit zwischen GRU und externen Hackernetzwerken genannt. Bashevs Aktivitäten umfassen die Unterstützung der WhisperGate-Malware-Kampagne gegen kritische Infrastruktur in der Ukraine, die eine in Kryptowährung gestellte Erpressungsforderung beinhaltete. Die Cyber Army of Russia Reborn (CARR), die bereits 2024 von OFAC sanktioniert wurde, und Z-Pentest, eine pro-russische Hacktivistengruppe, die mit CARR verbunden ist und kritische Infrastruktur im Energie- und Wassersektor angriff, einschließlich eines dänischen Wasserversorgungsunternehmens im Dezember 2024, erhielten ebenfalls EU-Sanktionen.

Verpflichtungen zum Sanktions-Screening: Was Kanzleien jetzt tun müssen

Jede neue OFAC-, OFSI- oder EU-Sanktion schafft eine unmittelbare Verpflichtung, Kundenaktivitäten und On-Chain-Transaktionsverläufe gegen die aktualisierten Listen zu prüfen. Die Multi-Chain-Natur der 1VPNS-bezogenen Sanktionen, die acht verschiedene Blockchains abdeckt, erhöht die Screening-Belastung erheblich über das hinaus, was ein Einzelketten-Check erfordern würde.

Unmittelbare Schritte für Wirtschaftsprüfungsgesellschaften und Auditoren

Kanzleien, die Krypto-Buchhaltungs- oder Buchhaltungsdienste anbieten, sollten den 14. Juli 2026 als Stichtag für die Aktualisierung ihrer Sanktions-Watchlists behandeln. Die folgenden Maßnahmen sind zeitkritisch.

Erstens: Laden Sie die neu veröffentlichten Wallet-Adressen aus der OFAC-Liste der Specially Designated Nationals (SDN) und der konsolidierten Sanktionsliste der EU in Ihre Transaktionsüberwachungs- oder digitale Vermögensbuchhaltungssoftware. Die OFAC-Auflistung für 1VPNS und Rashevskyi enthält Adressen über Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana, sodass jede Kanzlei, deren Mandanten auf diesen Chains handeln, ein retrospektives Screening durchführen muss.

Zweitens: Überprüfen Sie alle Mandanten, die in Branchen tätig sind, die historisch von Trickbot-verbundenen Ransomware-Stämmen ins Visier genommen wurden: Gesundheitswesen, Finanzdienstleistungen und kritische Infrastruktur. Wenn diese Mandanten Kryptowährungszahlungen getätigt oder erhalten haben, prüfen Sie, ob Gegenpartei-Adressen eine zusätzliche Due-Diligence-Prüfung gemäß den bestehenden AML-Richtlinien erfordern.

Drittens: Dokumentieren Sie die Screening-Reaktion Ihrer Kanzlei. Die Regulierungsbehörden in allen drei Rechtsräumen erwarten einen nachweisbaren, zeitnahen Compliance-Prozess. Ein datiertes Protokoll, das zeigt, wann Sanktionen übernommen wurden und welche Mandantenkonten gescreent wurden, ist bei regulatorischen Anfragen von Bedeutung.

Überlegungen auf CFO-Ebene

CFOs von Unternehmen, die Kryptowährungen in der Bilanz halten oder Treasury-Operationen verwalten, die digitale Vermögenswerte umfassen, sind durch diese Maßnahme zwei unterschiedlichen Risiken ausgesetzt. Das erste ist die direkte Exposition: Jede Gegenpartei-Wallet, die mit einer sanktionierten Adresse transagiert hat, kann sekundäre Screening-Verpflichtungen auslösen. Das zweite ist der Ruf: Auditoren fragen zunehmend nach Nachweisen für Sanktions-Screening-Kontrollen im Rahmen von Krypto-Vermögensoffenlegungen, und das Fehlen dokumentierter Verfahren wird Aufmerksamkeit erregen.

CFOs sollten auch die Breite der LummaC2-Sanktion beachten. Die Malware wurde speziell entwickelt, um Krypto-Wallet-Anmeldeinformationen und private Schlüsseldaten zu sammeln. Jede Organisation, die 2024 oder 2025 eine LummaC2-Infektion erlitten hat, ob sie es damals wusste oder nicht, sollte prüfen, ob kompromittierter Wallet-Zugriff eine nicht erkannte Verbindlichkeit oder ein Problem der Eigentumskette bei digitalen Vermögenswerten geschaffen hat, die noch in der Bilanz stehen.

AML- und Buchhaltungsimplikationen des Durchsetzungsmusters

Diese Maßnahme veranschaulicht einen bewussten Wandel in der Art und Weise, wie Durchsetzungsbehörden Ransomware angehen. Anstatt nur Betreiber ins Visier zu nehmen, erreichen die Sanktionen nun systematisch die Begünstigungsebene: VPN-Anbieter, Kryptor-Entwickler, Bullet-Proof-Hosting-Unternehmen und Malware-as-a-Service-Plattformen. Aus AML-Risikobewertungsperspektive bedeutet dies, dass die Population von Entitäten, die indirekte Sanktionsexposition für ein legitimes Unternehmen schaffen können, wächst.

Implikationen für Krypto-Buchhaltung und Audit

Für Kanzleien, die Krypto-Buchhaltungssoftware zur Abstimmung von Kundentransaktionen verwenden, stellen die Multi-Chain-Wallet-Offenlegungen in dieser Maßnahme eine praktische Herausforderung dar. Adressen über acht verschiedene Netzwerke sind jetzt live auf der SDN-Liste. Jedes Abstimmungstool, das OFAC-Daten nicht nahezu in Echtzeit übernimmt oder kein Multi-Chain-Adress-Screening bietet, schafft eine Lücke, die dazu führen könnte, dass eine Kanzlei keine angemessenen Kontrollen nachweisen kann.

Aus Abschlusssicht: Wenn digitale Vermögensbestände eines Mandanten auf eine sanktionierte Gegenpartei zurückgeführt werden, müssen die Vermögenswerte möglicherweise umklassifiziert werden. Sowohl unter US-GAAP (ASC 350-60, das FASB-Fair-Value-Modell für Krypto-Assets) als auch unter IFRS (IAS 38 oder IAS 32 je nach Klassifizierung) ist ein Vermögenswert, der einem rechtlichen Einfrieren oder Beschlagnahmerisiko unterliegt, nicht ohne Weiteres zum Fair Value bewertbar. Auditoren sollten dieses Szenario in ihren Risikobewertungsverfahren für jeden Mandanten mit wesentlichen Krypto-Beständen kennzeichnen.

Die von Kovalev erhaltenen Lösegeldzahlungen, die allein auf seinen Wallets mehr als 300 Millionen US-Dollar betrugen, werfen auch eine praktische Frage für jede Kanzlei auf, deren Mandant möglicherweise ein Lösegeld in Kryptowährung gezahlt hat: Die OFAC-Leitlinien zu Lösegeldzahlungen machen deutlich, dass die Zahlung an eine sanktionierte Einrichtung, selbst unwissentlich, einen Sanktionsverstoß darstellen kann. Kanzleien, die Mandanten bei Ransomware-Vorfällen beraten haben, sollten diese Mandate angesichts der bestätigten Identität von Stern als Kovalev, der nun formell in allen drei großen Sanktionsregimen genannt ist, erneut überprüfen.

Das Verständnis, wie sich die MiCA-Übergangsphase auf CASP-Compliance-Verpflichtungen auswirkt, ist hier zunehmend relevant, da EU-regulierte Krypto-Asset-Dienstleister diese Sanktionen nun in ihre Transaktionsüberwachungsrahmen sowohl unter MiCA als auch unter der EU-Geldwäscherichtlinie integrieren müssen. In ähnlicher Weise steht das Muster länderübergreifender Krypto-Sanktionen im Einklang mit dem Durchsetzungsverlauf, den wir behandelt haben, als wir US-Sanktionen gegen Bitcoin-Zahlungen für die Hormus-Passage und was Kanzleien tun müssen untersucht haben: OFAC erweitert die Bandbreite von On-Chain-Aktivitäten, die es als SDN-nahe behandelt, und Kanzleien benötigen Screening-Infrastruktur, die Schritt hält.

Das strategische Signal: Begünstiger sind jetzt Hauptziele

Die Aufnahme von 1VPNS, Media Land LLC und LummaC2-Entwicklern neben dem Trickbot-Betreiber selbst sendet eine klare Botschaft an Compliance-Profis. Sanktionsbehörden geben sich nicht mehr damit zufrieden, nur die Personen zu sanktionieren, die Lösegeldzahlungen erhalten. Sie kartieren und sanktionieren systematisch die kommerzielle Infrastruktur, die groß angelegte Ransomware-Operationen ermöglicht: die VPNs, die Hosting-Anbieter, die Verschleierungswerkzeuge und die Malware-Verteilungsplattformen.

Für Wirtschaftsprüfungsgesellschaften und CFOs bedeutet dies, dass der Umkreis des Sanktionsrisikos in einem Krypto-exponierten Mandantenstamm breiter ist als die eigenen Wallet-Adressen des Mandanten. Jeder Anbieter, jede Gegenpartei oder jeder Zahlungsabwickler im Ökosystem des Mandanten, der mit diesen sanktionierten Einheiten in Verbindung steht, schafft eine potenzielle Exposition. Risikobewertungen, die vor sechs Monaten noch angemessen waren, müssen möglicherweise jetzt aktualisiert werden, da die Begünstigungsebene der Ransomware-Wirtschaft in allen drei großen westlichen Sanktionsregimen formellen SDN-Status hat.

Häufig gestellte Fragen

Ändert die EU-Sanktion von „Stern“ etwas, wenn OFAC Kovalev bereits 2023 sanktioniert hat?

Ja. Die EU-Sanktion führt den Alias „Stern“ erstmals als Kennung ein, die mit Kovalev in einem Sanktionsregime verbunden ist. Das ist für Screening-Systeme wichtig, die sowohl auf Aliase als auch auf legale Namen abgleichen: Kanzleien, die unter EU-Rechtsprechung tätig sind, haben jetzt eine ausdrückliche Verpflichtung, nach diesem Alias zu screenen, und Blockchain-Analysten können die On-Chain-Adressdaten der EU nutzen, um ihre bestehende Überwachung zu erweitern.

Welche Blockchains werden von den 1VPNS-bezogenen OFAC-Wallet-Sanktionen abgedeckt?

OFAC veröffentlichte Adressen über acht Netzwerke: Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana. Kanzleien, deren Mandanten auf einer dieser Chains handeln, sollten sofort ein retrospektives Screening gegen die neu veröffentlichten Adressen durchführen.

Wenn ein Mandant vor der Identifizierung von Kovalev als Stern ein Lösegeld in Krypto gezahlt hat, besteht dann immer noch ein Sanktionsrisiko?

Möglicherweise. OFACs Durchsetzungshaltung zu Lösegeldzahlungen hat konsequent vertreten, dass die Zahlung an eine sanktionierte Einrichtung, selbst ohne Kenntnis ihres sanktionierten Status, einen Verstoß darstellen kann. Die formelle Identifizierung von Kovalev als Stern bedeutet, dass Kanzleien, die zu historischen Ransomware-Vorfällen beraten, diese Fälle neu bewerten sollten. Rechtliche Beratung mit OFAC-Expertise sollte in jede solche Überprüfung einbezogen werden.

Wie sollten Auditoren Krypto-Vermögenswerte behandeln, die möglicherweise eine sanktionierte Adresse passiert haben?

Wenn ein Auditor feststellt, dass die digitalen Vermögensbestände eines Mandanten, auch nur indirekt, mit einer sanktionierten Gegenpartei verbunden sind, können diese Vermögenswerte ein rechtliches Einfrier- oder Beschlagnahmerisiko tragen. Dieses Risiko beeinflusst die Fair-Value-Bewertung nach ASC 350-60 und IFRS-Rahmenwerken. Auditoren sollten die Bewertung dokumentieren, prüfen, ob eine Offenlegung erforderlich ist, und bewerten, ob der Vermögenswert bis zur rechtlichen Klärung umklassifiziert werden sollte.

Schafft diese Maßnahme neue Verpflichtungen für EU-regulierte CASPs unter MiCA?

MiCA schafft selbst keine Sanktionsverpflichtungen, aber CASPs, die unter MiCA autorisiert sind, unterliegen der EU-Geldwäscherichtlinie und der EU-Geldtransferverordnung, die beide ein Screening gegen die konsolidierte EU-Sanktionsliste erfordern. Die neuen Sanktionen müssen zeitnah in Transaktionsüberwachungssysteme übernommen werden. CASPs, die eine rechtzeitige Integration aktualisierter Sanktionslisten nicht nachweisen können, sind während MiCA-Compliance-Prüfungen einem Aufsichtsrisiko ausgesetzt. Siehe unsere Berichterstattung über wie sich das Ende der MiCA-Übergangsphase auf CASP-Compliance-Verpflichtungen auswirkt für den breiteren Rahmen.

Quelle: Chainalysis