Die Financial Action Task Force (FATF), das in Paris ansässige zwischenstaatliche Gremium, das weltweite Standards zur Geldwäschebekämpfung und Terrorismusfinanzierung festlegt, meldet, dass zunehmend mehr Rechtsgebiete Kryptowährungsregelungen erlassen, die Durchsetzung jedoch weiterhin deutlich hinter der gesetzgeberischen Entwicklung zurückbleibt.

In ihrem Siebten Gezielten Update zur Umsetzung der FATF-Standards für virtuelle Vermögenswerte und Anbieter virtueller Vermögenswerte (VASPs) stellte die globale Aufsichtsbehörde fest, dass 83 % der befragten Rechtsgebiete Gesetze zur Umsetzung der Travel Rule verabschiedet haben, was einer Steigerung gegenüber 73 % im Jahr 2025 entspricht.

Der Bericht zeigt jedoch auch, dass nur 40 % der Rechtsgebiete mit entsprechenden Travel-Rule-Gesetzen tatsächlich aufsichtliche oder vollzugliche Maßnahmen ergriffen haben. Mit anderen Worten: Während mehr Länder nun über formelle Vorschriften verfügen, überwachen weitaus weniger die Einhaltung auf sinnvolle Weise aktiv. Diese Lücke hat sich als zentrale Herausforderung des Updates herausgestellt.

Gesetze entwickeln sich schneller als der Vollzug

Die Travel Rule ist einer der folgenschwersten Compliance-Standards im Kryptowährungssektor. Sie dehnt die FATF-Empfehlung 16 – eine langjährige Vorschrift, wonach Banken bei Überweisungen Angaben zu Absender und Begünstigtem teilen müssen – auf Transaktionen mit virtuellen Vermögenswerten aus. Sie verlangt von Anbietern virtueller Vermögenswerte, Informationen über den Auftraggeber und den Begünstigten für qualifizierende Überweisungen zu sammeln und zu übermitteln. In der Praxis möchten Aufsichtsbehörden, dass Krypto-Intermediäre wissen, wer Gelder sendet und empfängt, insbesondere wenn Überweisungen zwischen regulierten Plattformen erfolgen.

Die FATF wandte ihre Standards erstmals 2019 auf virtuelle Vermögenswerte an, und die Travel Rule hat sich seitdem zum Lackmustest dafür entwickelt, ob ein Rechtsgebiet es ernst meint mit der Krypto-AML-Compliance. Laut FATF haben die meisten befragten Rechtsgebiete die Vorschrift inzwischen in Gesetz umgewandelt – eine deutliche Veränderung gegenüber dem früheren Zeitraum, als viele Länder noch abwogen, ob sie VASPs überhaupt regulieren sollten. Die EU beispielsweise hat Travel-Rule-Verpflichtungen in ihre umfassendere Verordnung über Märkte für Krypto-Assets (MiCA) integriert, die ab 2024 schrittweise in Kraft trat.

Dennoch ist die Gesetzgebung nur ein erster Schritt. Eine Vorschrift, die auf dem Papier steht, ohne dass sie aktiv überwacht wird, bewirkt nur wenig. Börsen, Makler, Verwahrer und Zahlungsunternehmen benötigen Orientierungshilfen, Inspektionen, glaubhafte Durchsetzungsrisiken und funktionierende technische Systeme. Aufsichtsbehörden benötigen geschultes Personal und angemessene Werkzeuge. Mechanismen der grenzüberschreitenden Zusammenarbeit müssen effektiv funktionieren. Die Daten der FATF zeigen, dass die Umsetzung in diesen Bereichen immer noch uneinheitlich ist.

Warum die Vollzugslücke wichtig ist

Bei der Krypto-Compliance gab es schon immer das Problem des schwächsten Glieds. Wenn ein Rechtsgebiet strenge Regeln aufrechterhält, während ein anderes nichts durchsetzt, können illegale Akteure ihre Aktivitäten über das schwächere Rechtsgebiet abwickeln. Diese Dynamik erzeugt systemischen Druck, da Kryptowährungstransaktionen von Natur aus global sind. Das wichtigste Hebelmittel der FATF, um zögerliche Rechtsgebiete unter Druck zu setzen, ist ihre Liste der überwachten Rechtsgebiete – oft als Graue Liste bezeichnet –, die Länder mit strategischen Mängeln in ihren AML/CFT-Rahmenwerken markiert und Reputationsschäden sowie finanzielle Folgen nach sich ziehen kann.

Die Vollzugslücke ist besonders relevant für Betrug, Geldwäschenetze, Ransomware-Gruppen und staatlich verknüpfte Hackerangriffe. Der Bericht der FATF kennzeichnet speziell mit organisierter Kriminalität verknüpfte Betrugszentren, Cyberdiebstahl durch die DVR Korea, unhosted Wallets, DeFi und Stablecoins, die so konzipiert sind, dass sie einem Einfrieren widerstehen, als Bereiche mit erhöhter Besorgnis.

Diese Kategorien veranschaulichen, wie sich die Risikolandschaft entwickelt hat. Der Fokus liegt nicht mehr nur auf unseriösen Börsen oder auffälligen Darknet-Aktivitäten. Er umfasst nun groß angelegte Betrugsanlagen, anspruchsvolle Cyberoperationen, dezentralisierte Dienste, Wallet-Infrastruktur und Stablecoin-Architekturen, die die Fähigkeit von Emittenten oder Intermediären einschränken könnten, illegale Gelder einzufrieren – ein deutlich komplexeres Umfeld für Aufsichtsbehörden.

DeFi bleibt der am schwersten zu integrierende Bereich

DeFi stellt eine der größten Herausforderungen innerhalb des FATF-Rahmenwerks dar. Die Travel Rule setzt die Existenz eines Intermediärs voraus, der Informationen sammeln und übermitteln kann. Bei DeFi existiert dieser Intermediär möglicherweise im traditionellen Sinne gar nicht. Ein Protokoll kann aus Smart Contracts, Frontends, Governance-Teilnehmern, Entwicklern, Validatoren, Relaisdiensten (Relayers) oder einer Kombination all dieser Komponenten bestehen.

Aufsichtsbehörden sehen sich folglich einer grundlegenden Frage gegenüber: Wer trägt die Verantwortung? Wenn ein Team ein Frontend kontrolliert, könnte das Frontend zum Ansatzpunkt für den Vollzug werden. Wenn eine DAO die Protokollparameter steuert, könnten Governance-Teilnehmer unter Druck geraten. Wenn Benutzer direkt mit Smart Contracts interagieren, wird der Vollzug deutlich erschwert.

Die FATF drängt die Länder bereits darauf zu verhindern, dass das Label „dezentralisiert“ zu einer regulatorischen Lücke wird. Die Übersetzung dieses Prinzips in eine praktische Überwachung ist jedoch alles andere als einfach, weshalb die Vollzugslücke im DeFi-Kontext von noch größerer Bedeutung ist.

Stablecoins unter der Lupe

Stablecoins fallen im Risikobewertungsbericht besonders auf. Sie stellen einen der am weitesten verbreiteten Anwendungsfälle von Krypto dar und dienen gleichzeitig als eines der einfachsten Instrumente, um Werte schnell über Grenzen hinweg zu bewegen. USDT, USDC und andere Stablecoins sind zu zentralen Abwicklungsassets für Händler, Unternehmen, Remittance-Dienste, DeFi-Nutzer und zeitweise auch illegale Netzwerke geworden.

Die Besorgnis der FATF bezüglich einfrierresistenter Stablecoins dreht sich um Kontrolle. Wenn ein Stablecoin-Emittent Adressen einfrieren kann, können Aufsichtsbehörden Emittenten dazu zwingen, gegen illegale Gelder vorzugehen. Wenn ein Stablecoin so konzipiert ist, dass er einem Einfrieren widersteht, oder keinen klaren Kontrollpunkt des Emittenten aufweist, schwächt dies den Durchsetzungsweg erheblich.

Dies wirft schwierige Fragen zur Zensurresistenz, zum Nutzerschutz und zum Zugang für Strafverfolgungsbehörden auf – Fragen, die keine Anzeichen einer baldigen Lösung zeigen. Nutzer von Kryptowährungen schätzen häufig Assets, die nicht ohne weiteres eingefroren werden können, während Aufsichtsbehörden befürchten, dass genau diese Eigenschaften kriminelle Aktivitäten erleichtern können.

Die nächste Phase: Überwachung

Die Schlagzeilenzahl – 83 % gesetzgeberische Einführung – zeigt, dass die Kryptowährungsregulierung in den Mainstream gerückt ist. Die weitreichendere Zahl dürfte jedoch die Vollzugsquote von 40 % sein. Die nächste Phase der globalen Krypto-Aufsicht wird sich weniger danach definieren, ob Länder Regeln geschrieben haben, und mehr danach, ob sie Unternehmen beaufsichtigen, Verstöße bestrafen und grenzüberschreitend zusammenarbeiten.

Börsen und Verwahrer müssen ihre Travel-Rule-Compliance-Systeme stärken. DeFi-Frontends könnten mit verstärkter Kontrolle rechnen. Stablecoin-Emittenten werden unter anhaltendem Druck bleiben.

Für die Branche ist die Botschaft klar: Die Compliance-Debatte hat sich weiterentwickelt und dreht sich nicht mehr darum, ob Kryptowährungen reguliert werden sollten. Es geht nun darum, ob bestehende Regeln konsequent genug durchgesetzt werden, um die globalen Standardsetzer zufriedenzustellen.

Dieser Artikel basiert auf dem Siebten Gezielten Update der FATF zu virtuellen Vermögenswerten und VASPs.