DeFi-Compliance 2026: Wer haftet, wenn nur Code läuft?

DeFi verkauft ein einfaches Versprechen: kein Mittelsmann, keine Bank, kein Konto, nur ein Smart Contract und eine Wallet. Compliance-Recht funktioniert genau umgekehrt. Es sucht immer eine Person oder ein Unternehmen, das es adressieren, lizenzieren, überwachen und im Zweifel bestrafen kann. Wenn ein Finanzdienst aus nichts als Code besteht, den scheinbar niemand betreibt, prallen beide Logiken aufeinander. Genau an dieser Nahtstelle entscheidet sich 2026, wer für ein dezentrales Protokoll geradesteht, und die Antwort fällt selten so aus, wie der Marketing-Begriff „dezentral“ nahelegt.

Die Frage ist längst nicht mehr theoretisch. Die Europäische Kommission hat am 20. Mai 2026 eine gezielte MiCA-Überprüfung gestartet, deren Konsultation am 31. August 2026 endet und die ausdrücklich fragt, ob DeFi, Staking, Lending und Prediction Markets künftig unter die Verordnung fallen sollen (freshfields.com). Parallel hat die Financial Action Task Force (FATF) im Juli einen Bericht vorgelegt, der die bequeme Ausrede „Wir sind dezentral, also gilt die Regel nicht“ frontal angreift (chainalysis.com). Und in den USA läuft mit dem Wiederaufnahmeverfahren gegen den Tornado-Cash-Entwickler Roman Storm der Präzedenzfall, an dem sich die Entwicklerhaftung weltweit orientieren wird (theblock.co). Dieser Text ordnet ein, wer bei DeFi tatsächlich haftet, welche Behörde welchen Regelkreis abdeckt und was das konkret für deutsche Nutzer, Entwickler und Frontend-Betreiber bedeutet.

Warum Compliance immer einen Verantwortlichen sucht

Der Ausgangspunkt jeder Compliance-Diskussion ist unbequem für die DeFi-Ideologie: Regulierung knüpft nicht an Technologie an, sondern an Kontrolle. Ein Gesetz gegen Geldwäsche verpflichtet nicht den Code, sondern denjenigen, der einen Dienst betreibt. Eine Wertpapieraufsicht adressiert nicht die Blockchain, sondern den Emittenten oder den Vermittler. Der Begriff „dezentral“ löst diese Pflichten nicht auf, er macht den Verantwortlichen nur schwerer auffindbar. Wer Kontrolle ausübt und daraus Nutzen zieht, bleibt im Visier, egal wie das Produkt genannt wird.

Diese Einsicht zieht sich durch alle Rechtsordnungen, die 2026 an DeFi arbeiten. Die FATF nennt es den Kontroll-oder-Einfluss-Test. Die EU-Kommission fragt in ihrer MiCA-Konsultation nach identifizierbaren Intermediären, Admin-Keys und Governance-Konzentration. Die US-Gerichte prüfen im Fall Tornado Cash, ob jemand einen Geldtransmissionsdienst betrieben hat. Drei Behörden, drei Sprachen, ein Prinzip: Haftung folgt der Kontrolle und dem Profit, nicht dem Etikett. Wer das verstanden hat, kann fast jede DeFi-Compliance-Frage selbst beantworten.

Das erklärt auch, warum die Zahlen so klein wirken und die Debatte trotzdem so heftig ist. Nach Marktdaten ist der in DeFi gebundene Wert (Total Value Locked) 2026 um mehr als ein Drittel gefallen, von gut 114 Milliarden US-Dollar zu Jahresbeginn auf zuletzt rund 70 Milliarden US-Dollar, also grob 60 Milliarden Euro (cryptorank.io). Gemessen am gesamten Kryptomarkt ist das eine Nische. Doch die Prinzipienfrage, ob ein Finanzsystem ohne adressierbaren Betreiber überhaupt reguliert werden kann, reicht weit über die aktuelle Marktgröße hinaus.

Fünf Regelkreise, fünf Zuständigkeiten

„Compliance“ ist kein einzelner Schalter, sondern ein Bündel getrennter Pflichten, die jeweils eine andere Behörde und einen anderen Auslöser haben. Wer DeFi einordnen will, muss diese Regelkreise auseinanderhalten, sonst entstehen die typischen Missverständnisse, etwa die verbreitete Gleichsetzung von Wertpapieraufsicht und Geldwäscheprävention. Das sind zwei völlig verschiedene Baustellen.

Der erste Kreis ist die Geldwäscheprävention (AML/CFT). In der EU regelt sie künftig die unmittelbar geltende Geldwäscheverordnung (AMLR) samt der Geldtransfer-Verordnung (Transfer of Funds Regulation, die europäische Travel Rule), überwacht von den nationalen Aufsehern und der neuen EU-Behörde AMLA in Frankfurt. In Deutschland kommen die BaFin und die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) hinzu. Der zweite Kreis sind Sanktionen, in der EU über die Listen des Rates, faktisch verstärkt durch die extraterritoriale Reichweite des US-Sanktionsregimes (OFAC). Der dritte Kreis ist die Wertpapier- und Marktaufsicht: MiCA erfasst Kryptowerte-Dienstleister und Emittenten, während klassische Finanzinstrumente unter MiFID II fallen, beides in Deutschland bei der BaFin. Der vierte Kreis sind Derivate: Krypto-Futures und Perpetuals sind Finanzinstrumente nach MiFID II, kein MiCA-Gegenstand. Der fünfte Kreis ist die Besteuerung, in Deutschland über die Einkommensteuer und die Regeln zu privaten Veräußerungsgeschäften, zuständig ist das Finanzamt.

Wichtig ist die Botschaft hinter der Tabelle: Kein einziger dieser Kreise adressiert „die Blockchain“. Jeder sucht eine natürliche oder juristische Person. Solange es eine gibt, greift die jeweilige Pflicht; fehlt sie vollständig, entsteht eine Lücke, um die 2026 der gesamte regulatorische Streit kreist.

MiCA reguliert Dienstleister, nicht Protokolle

Für die EU ist der zentrale Text die Markets-in-Crypto-Assets-Verordnung (MiCA), die für Kryptowerte-Dienstleister (Crypto-Asset Service Provider, CASP) seit Ende Dezember 2024 gilt. MiCA lizenziert und beaufsichtigt Dienstleister, die Kryptowerte verwahren, tauschen, platzieren oder darüber beraten, sowie Emittenten von Stablecoins und anderen Token. Was MiCA ausdrücklich nicht erfasst, sind vollständig dezentrale Dienste ohne jeden Intermediär. Die BaFin bringt das in ihrem Merkblatt zu Kryptowerte-Dienstleistungen auf den Punkt: Reguliert wird die Dienstleistung, die ein identifizierbarer Anbieter erbringt, nicht das Protokoll als solches (bafin.de).

Das klingt nach einem Freibrief für DeFi, ist aber keiner. Die europäischen Aufsichtsbehörden EBA und ESMA haben in ihrem gemeinsamen Bericht nach Artikel 142 MiCA vom 16. Januar 2025 festgehalten, dass echtes DeFi bislang eine Nische ist, mit rund vier Prozent des weltweiten Kryptowerts in DeFi-Protokollen, und zugleich klargestellt, dass die Selbstbeschreibung „Wir sind DeFi“ nicht ausreicht, um MiCA zu entkommen, wenn ein identifizierbares Team oder ein beherrschender Akteur existiert (eba.europa.eu). Genau hier liegt die Grauzone: Die meisten Protokolle, die sich dezentral nennen, haben ein Entwicklerteam, eine Stiftung, eine DAO mit bekannten Adressen oder ein Frontend, das jemand betreibt. Und sobald es diesen Jemand gibt, ist die MiCA-Freistellung in Gefahr.

Für deutsche Anbieter kommt ein Datum hinzu: Die verkürzte MiCA-Übergangsfrist ist am 1. Juli 2026 ausgelaufen. Wer seither in Deutschland Kryptowerte-Dienstleistungen anbietet, braucht eine CASP-Erlaubnis oder muss den Betrieb einstellen. Ob ein DeFi-Frontend darunter fällt, hängt genau an der Kontrollfrage. Ähnlich hart ist die Einordnung übrigens bei der Frage, ob ein Token ein Wertpapier oder eine bloße Ware ist, ein Streit, der in den USA anders geführt wird als in der EU und den wir in unserer Analyse zu den ETF-Zulassungen und der Frage Ware oder Wertpapier aufgeschlüsselt haben.

Die MiCA-Überprüfung: Brüssel entscheidet, wo die Grenze liegt

Die spannendste Baustelle liegt gerade offen auf dem Tisch. Am 20. Mai 2026 hat die Europäische Kommission eine gezielte Konsultation zur Überprüfung von MiCA gestartet, mit 86 Fragen in vier Themenblöcken, und die Frist für Stellungnahmen endet am 31. August 2026 (freshfields.com). Zum ersten Mal fragt die EU systematisch, ob DeFi, NFTs, Staking, Lending, Prediction Markets und Krypto-Perpetuals in den Anwendungsbereich der Verordnung gezogen werden sollen, alles Bereiche, die MiCA bisher ausklammert.

Der entscheidende Teil ist, wie Brüssel Dezentralität definieren will. Die Konsultation nennt konkrete Kriterien, an denen sich entscheiden könnte, ob eine Anwendung eben nicht vollständig dezentral ist: das Vorhandensein eines identifizierbaren Intermediärs, die Kontrolle über Admin-Keys, eine Konzentration der Governance-Macht, die Verwahrung von Nutzervermögen, nicht quelloffener Code und die Vermarktung durch eine identifizierbare Einheit. Diskutiert werden außerdem Zertifizierungssysteme für Protokolle, Smart Contracts und Anbieter nicht-verwahrender Wallets. Anders gesagt: Die EU sucht einen praktikablen Test, um „echtes“ von „nur behauptetem“ DeFi zu trennen, und je nachdem, wo diese Grenze gezogen wird, fällt ein großer Teil der heutigen Protokolle in die Regulierung oder eben nicht.

Für deutsche Marktteilnehmer ist das mehr als ein Brüsseler Verfahrensdetail. Wenn die Admin-Key-Kontrolle zum Ausschlusskriterium wird, müssen Teams entscheiden, ob sie Upgrade-Rechte abgeben und Zeitschlösser (timelocks) einführen, oder ob sie die Konsequenz tragen, als CASP zu gelten. Diese Weichenstellung wird die Architektur von Protokollen prägen, lange bevor ein finaler Gesetzestext vorliegt.

Der FATF-Kontrolltest: dezentral ist keine Ausrede mehr

Global gibt die FATF die Richtung vor. Ihr am 21. Juli 2026 veröffentlichter Bericht „Targeted Report on Regulatory Challenges from Decentralised Finance“ führt einen Kontroll-oder-Einfluss-Test ein (Control or Sufficient Influence, COSI): Ein DeFi-Arrangement fällt überall dort in den Anwendungsbereich der Empfehlung 15, wo eine natürliche oder juristische Person Kontrolle oder ausreichenden Einfluss ausübt (chainalysis.com). Der Bericht teilt Protokolle in drei Kategorien, die den regulatorischen Umgang bestimmen.

Die Kontrollindikatoren sind konkret. On-Chain zählen dazu die Konzentration von Governance-Token, administrative Privilegien über Smart Contracts (Upgrades, Pausen) und die Kontrolle über Gebühren- und Treasury-Flüsse. Off-Chain zählen die Kontrolle über das Frontend, der Zugriff auf die Entwickler-Repositories und die Kommunikation über Änderungsmöglichkeiten am Protokoll. Die Botschaft der FATF ist unmissverständlich: Sich selbst dezentral zu nennen genügt nicht, um der Aufsicht zu entgehen.

Bemerkenswert ist, wie wenig davon in der Praxis umgesetzt ist. Nach dem Bericht haben rund 93 Prozent der befragten Jurisdiktionen bislang kein einziges regulierungspflichtiges DeFi-Arrangement identifiziert; nur eine Handvoll Länder hat überhaupt Lizenzpflichten verhängt, und Vollzugsmaßnahmen sind bisher die absolute Ausnahme. Die Regel steht also, die Durchsetzung hinkt weit hinterher, und genau diese Lücke ist der Grund, warum die kommenden Jahre über die Praxis entscheiden werden.

Die Haftungskette: Entwickler, Frontends, DAOs

Wenn Kontrolle der Maßstab ist, lässt sich die Haftung entlang der Wertschöpfungskette eines Protokolls sortieren. Die relevanten Präzedenzfälle stammen bisher überwiegend aus den USA, weil dort schneller vor Gericht gestritten wird; ihre Logik ist aber übertragbar, weil auch die EU-Regeln an Kontrolle anknüpfen.

Der Fall Ooki DAO ist dabei der schärfste Warnschuss. Am 9. Juni 2023 erging ein Versäumnisurteil, in dem die US-Derivateaufsicht CFTC die DAO als nicht rechtsfähige Vereinigung und als „Person“ im Sinne des Commodity Exchange Act einstufte, die Governance-Token-Inhaber als Mitglieder behandelte, eine Geldstrafe von rund 643.000 US-Dollar (etwa 556.000 Euro) verhängte und die Abschaltung der Website anordnete (cftc.gov). Die Botschaft an Token-Inhaber ist deutlich: Wer über ein Protokoll abstimmt, kann als Mitverantwortlicher gelten. Die durchgehende Linie über alle vier Zeilen lautet, dass die Haftung der Kontrolle und dem Profit folgt, nicht dem Label DeFi.

Tornado Cash: der Wendepunkt für die Entwicklerhaftung

Kein Fall hat die Debatte so geprägt wie Tornado Cash, und er zeigt beide Seiten der Medaille. Zunächst die gute Nachricht für Entwickler: Im Verfahren Van Loon gegen das US-Finanzministerium entschied das Berufungsgericht des Fifth Circuit am 26. November 2024, dass unveränderliche Smart Contracts kein „Eigentum“ im Sinne des Sanktionsrechts (IEEPA) sind, weil niemand sie besitzt, kontrolliert oder ausschließen kann, und deshalb nicht sanktioniert werden können. In der Folge nahm die US-Sanktionsbehörde OFAC Tornado Cash am 21. März 2025 von der Sanktionsliste (coindesk.com). Code allein, so die Lehre, ist unantastbar.

Die andere Seite betrifft das Betreiben eines Dienstes rund um den Code. Der Mitentwickler Roman Storm wurde im August 2025 wegen des Betriebs eines nicht lizenzierten Geldtransmissionsgeschäfts verurteilt; bei den Vorwürfen der Geldwäsche und des Sanktionsverstoßes konnte sich die Jury nicht einigen. Die Staatsanwaltschaft strebt eine Wiederaufnahme an, die nach aktuellem Stand am 5. oder 12. Oktober 2026 vor Richterin Katherine Polk Failla beginnen soll und etwa drei Wochen dauern dürfte; Storm drohen bei einer Verurteilung in beiden verbleibenden Anklagepunkten bis zu 40 Jahre Haft (theblock.co). Der Unterschied zwischen unantastbarem Code und strafbarem Dienstbetrieb ist damit der schmale Grat, auf dem sich die gesamte Entwicklerhaftung bewegt.

Wie diese Grenze zu ziehen ist, hat ein hochrangiger Vertreter des US-Justizministeriums bemerkenswert klar formuliert. Matthew Galeotti, damals kommissarischer stellvertretender Generalstaatsanwalt der Kriminalabteilung, sagte im August 2025: „Nach unserer Auffassung ist das bloße Schreiben von Code ohne böse Absicht kein Verbrechen.“ (coindesk.com). Der Satz markiert die Trennlinie: Die reine Publikation von Software ist geschützt, das Betreiben einer Oberfläche, eines Relayers oder einer Gebührenstruktur um diese Software herum ist Verhalten, und Verhalten kann strafbar sein.

Das Frontend als Nadelöhr

In der Praxis läuft die Durchsetzung fast immer über das Frontend, nicht über den Vertrag. Ein Smart Contract lässt sich nicht ohne Weiteres zensieren; eine gehostete Website dagegen ist eine juristische Einheit mit Servern, einem Betreiber und einer Adresse. Genau deshalb ist die Oberfläche das eigentliche Nadelöhr der DeFi-Compliance. Uniswap Labs zeigt das Muster: In Zusammenarbeit mit der Analysefirma TRM Labs screent das Unternehmen Adressen auf OFAC-Sanktionslisten sowie auf Verbindungen zu illegalen Aktivitäten wie gestohlenen Geldern, Ransomware oder Terrorfinanzierung und sperrt betroffene Wallets auf Frontend-Ebene (blog.uniswap.org). Wichtig ist das Detail: Eine gesperrte Adresse kann weiterhin Vermögen halten und empfangen, aber die Oberfläche deaktiviert jede zustandsverändernde Aktion, also Tausch oder Liquiditätsbereitstellung. Der zugrunde liegende Vertrag bleibt offen, nur der bequeme Zugang über die offizielle Seite wird gekappt.

Das erklärt, warum nach den Tornado-Cash-Sanktionen 2022 mehrere große Protokolle innerhalb von Tagen markierte Adressen von ihren Oberflächen aussperrten, während die Verträge unverändert weiterliefen. Für deutsche Betreiber ist die Konsequenz unmittelbar: Ein in Deutschland gehostetes DeFi-Frontend ist mit hoher Wahrscheinlichkeit ein CASP nach MiCA und eine verpflichtete Stelle nach der Geldwäscheverordnung, mit allen Pflichten zu Screening, Geoblocking, Identifizierung und Meldewesen. Wer diese Kontrolle nicht will, kann den Weg der Selbstverwahrung und der direkten Vertragsinteraktion gehen, technisch anspruchsvoller, aber ohne die zwischengeschaltete Oberfläche; wie das im Detail und mit welchen Kompromissen funktioniert, zeigt unser Leitfaden zum Ethereum Solo Staking nach Fusaka und Pectra.

Der Geldwäsche-Rahmen der EU: AMLR, AMLA und die Travel Rule

Parallel zu MiCA baut die EU ihren Geldwäscherahmen komplett um, und dieser Umbau trifft DeFi über die Frontends und Dienstleister. Kern ist die Geldwäscheverordnung (AMLR), die anders als die früheren Richtlinien unmittelbar in allen Mitgliedstaaten gilt und deren zentrale Pflichten ab dem 1. Juli 2027 greifen. Sie ersetzt den bisherigen Flickenteppich nationaler Umsetzungen durch ein einheitliches Regelwerk und wird von der neuen Anti-Geldwäsche-Behörde AMLA mit Sitz in Frankfurt am Main flankiert.

Für Kryptowerte besonders relevant sind zwei Elemente. Erstens die Geldtransfer-Verordnung (Transfer of Funds Regulation), die europäische Fassung der Travel Rule: CASPs müssen bei Krypto-Transfers Angaben zu Sender und Empfänger erheben und weitergeben, und Transfers zu oder von selbstverwahrten Wallets über 1.000 Euro lösen verschärfte Sorgfaltspflichten aus. Zweitens das grundsätzliche Verbot anonymer Konten und der Bereitstellung von Anonymitäts-Coins durch verpflichtete Stellen. Beides zielt nicht auf das Protokoll, sondern auf die Dienstleister an dessen Rändern. Die entscheidende juristische Frage lautet damit auch in der EU: Ist das Frontend, der Relayer oder der Betreiber eine verpflichtete Stelle? Wenn ja, greift der volle AML-Apparat; wenn nein, bleibt nur der schwer zu fassende Rest.

Konkret heißt das für den deutschen Markt: Eine Börse oder ein Frontend, das Ein- und Auszahlungen in Euro ermöglicht, muss künftig unter der AMLR dieselben Sorgfaltspflichten erfüllen wie eine Bank, von der Identifizierung der Kundschaft über die laufende Überwachung bis zur Verdachtsmeldung an die FIU. Die AMLA in Frankfurt wird zudem ausgewählte, grenzüberschreitend tätige Anbieter direkt beaufsichtigen. Für rein dezentrale Protokolle ohne verpflichtete Stelle bleibt formal eine Lücke, doch sobald ein Nutzer den regulierten Rand berührt, um Kryptowerte in Euro zu tauschen, greift der volle Apparat. Anonymität endet spätestens an der Kasse.

Zwei Pole: erlaubnispflichtige DeFi und Privacy Pools

Die Branche reagiert auf diesen Druck mit zwei gegensätzlichen Architekturen. Am einen Pol steht erlaubnispflichtiges DeFi, also Compliance per Whitelist. Aave Arc führte dieses Modell mit einem Whitelister (Fireblocks) ein, der nur KYC-geprüfte Institutionen zulässt. Der 2025 gestartete Nachfolger Aave Horizon kombiniert erlaubnispflichtige Sicherheiten aus tokenisierten Realwerten mit erlaubnisfreier Stablecoin-Liquidität und hat nach Projektangaben Einlagen im mittleren dreistelligen Millionenbereich angezogen. Anbieter wie Maple, Clearpool und Centrifuge verfolgen ähnliche Ansätze. In der Szene heißt dieses Muster „DeFi-Mullet“: vorne eine regulierte Fintech-Oberfläche, hinten eine DeFi-Mechanik.

Am anderen Pol steht der Versuch, Compliance ohne Überwachung zu ermöglichen. Privacy Pools, am 31. März 2025 auf dem Ethereum-Mainnet gestartet und von der Firma 0xbow entwickelt, setzen ein Konzept aus einem 2023 mitverfassten Forschungspapier von Vitalik Buterin um (theblock.co). Nutzer weisen per Zero-Knowledge-Beweis nach, dass ihre Mittel aus einer Association Set stammen, die illegale Quellen ausschließt, ohne ihre Identität preiszugeben; die Sets sind dynamisch, sodass eine später als illegal erkannte Einzahlung entfernt werden kann, ohne die übrigen zu stören. Buterin selbst gehörte zu den ersten Einzahlern. Der Ansatz ist elegant, wirft aber offene Fragen auf: Wer kuratiert die Association Set, und ist ein „konformer Mixer“ nicht doch wieder ein Geldtransmissionsdienst, mit genau dem Haftungsrisiko, das der Fall Storm sichtbar gemacht hat? Zwischen diesen beiden Polen wird sich entscheiden, ob DeFi-Compliance eher zu Erlaubnisinseln oder zu kryptografischer Nachweisbarkeit tendiert.

Der Stablecoin als stille Hintertür der Compliance

Es gibt einen Weg, auf dem Compliance in DeFi eindringt, ganz ohne dass ein Protokoll reguliert werden müsste: über den Vermögenswert, mit dem abgerechnet wird. Der Großteil der DeFi-Aktivität läuft über Stablecoins, und die sind längst reguliert. In der EU erfasst MiCA sie als E-Geld-Token (EMT) und wertreferenzierte Token (ART) und stellt strenge Anforderungen an Reserven, Rücktauschrechte und die Zulassung der Emittenten; besonders große, weit verbreitete Stablecoins unterliegen zusätzlicher Aufsicht. In den USA verlangt der GENIUS Act, dass Emittenten von Zahlungs-Stablecoins Guthaben auf rechtmäßige Anordnung einfrieren, beschlagnahmen oder vernichten können.

Die Konsequenz ist unbequem für die reine DeFi-Lehre: Selbst wenn ein Protokoll vollständig dezentral und praktisch unregulierbar wäre, ist der Dollar oder Euro, der durch seine Pools fließt, es nicht. Ein Emittent kann eine Adresse auf eine Sperrliste setzen, und die betroffenen Token sind sofort eingefroren, egal in welchem Smart Contract sie gerade liegen. Genau das geschieht in der Praxis bereits regelmäßig; die großen Stablecoin-Emittenten führen Sperrlisten und frieren Adressen ein, meist auf Anordnung von Strafverfolgungsbehörden. Damit sitzt die schärfste Durchsetzungsmöglichkeit nicht beim Protokoll und nicht einmal beim Frontend, sondern beim Emittenten des Abwicklungs-Vermögenswerts.

Für die Compliance-Architektur heißt das: Wer wirklich zensurresistent bleiben will, muss auch beim Geld auf dezentrale Alternativen ausweichen, etwa überbesicherte, nicht einfrierbare Stablecoins oder native Kryptowerte. Das bringt jedoch neue Risiken bei Stabilität, Liquidität und Kapitaleffizienz und schrumpft den nutzbaren Markt erheblich. Die meisten Nutzer und Protokolle greifen deshalb zu den regulierten Stablecoins und akzeptieren damit stillschweigend eine Compliance-Ebene, die sie an anderer Stelle ablehnen. Der Abwicklungs-Vermögenswert ist so zur leisesten, aber wirksamsten Hintertür der DeFi-Regulierung geworden, und keine noch so elegante Protokoll-Dezentralisierung ändert daran etwas.

Die USA gehen einen anderen Weg: SEC, GENIUS und CLARITY

Der Kontrast zwischen EU und USA ist 2026 groß, und für die globale Praxis zählt beides. Die US-Börsenaufsicht SEC hat unter Vorsitzendem Paul Atkins einen scharfen Kurswechsel vollzogen, weg von der Regulierung durch Strafverfolgung hin zu einem Programm namens „Project Crypto“ mit einer geplanten Innovationsausnahme, einer Art bedingtem Safe Harbor. Atkins hat die dahinterliegende Haltung bei einer Roundtable-Veranstaltung am 9. Juni 2025 mit dem Titel „DeFi and the American Spirit“ auf den Punkt gebracht: „Das Recht auf Selbstverwahrung des eigenen Eigentums ist ein grundlegender amerikanischer Wert, der nicht verschwinden sollte, sobald man online geht.“ (theblock.co). Warum aus dieser angekündigten Ausnahme bis heute kein fertiges Regelwerk geworden ist, haben wir in unserer Analyse dazu beschrieben, wie die SEC den Safe Harbor vertagt und Enforcement vorerst das Regelwerk bleibt.

Auf der Gesetzgebungsseite laufen zwei Vorhaben. Der GENIUS Act, am 18. Juli 2025 unterzeichnet, regelt Zahlungs-Stablecoins, deren Gesamtmarkt zuletzt bei rund 287 Milliarden US-Dollar (etwa 248 Milliarden Euro) lag (coingecko.com), verlangt vollständig liquide Reserven, unterwirft die Emittenten den Geldwäscheregeln und schreibt vor, dass ein Emittent Guthaben auf rechtmäßige Anordnung einfrieren, beschlagnahmen oder vernichten können muss (whitehouse.gov). Damit dringt Compliance über den Abwicklungs-Vermögenswert selbst in DeFi ein: Wer einen regulierten Stablecoin nutzt, nutzt ein Instrument mit eingebautem Not-Aus. Der CLARITY Act soll die Marktstruktur klären und die Zuständigkeiten zwischen SEC und CFTC aufteilen; er passierte 2025 das Repräsentantenhaus, doch im Senat ist ein prozeduraler Cloture-Vote für den 15. September 2026 angesetzt, für den bei 53 republikanischen Sitzen mindestens sieben Stimmen aus dem anderen Lager nötig sind, und ausgerechnet DeFi ist einer der Streitpunkte (coindesk.com). Am Rande sei erwähnt, dass die USA die IRS-Broker-Regel für DeFi-Frontends im April 2025 wieder kassiert haben, sodass dort, anders als bei verwahrenden Börsen, keine Formular-Meldepflicht für Oberflächen besteht.

Das Compliance-Werkzeug und seine Grenzen

Zwischen Prinzip und Praxis steht das Werkzeug. Drei Kategorien prägen die operative DeFi-Compliance. Erstens die Blockchain-Analyse von Anbietern wie Chainalysis, Elliptic und TRM Labs, die Adressen Risikoscores zuweist; wichtig ist, dass diese Analyse probabilistisch ist, also Wahrscheinlichkeiten liefert, keine Beweise. Zweitens On-Chain-Attestierungen und zk-KYC, mit denen sich eine Eigenschaft (etwa über 18 Jahre alt, nicht sanktioniert, geprüft) nachweisen lässt, ohne die zugrunde liegenden Dokumente offenzulegen. Drittens die Travel-Rule-Infrastruktur, über die Dienstleister die geforderten Sender- und Empfängerdaten austauschen.

Ob dieser Apparat sein Ziel erreicht, ist umstritten, und der Einwand kommt nicht nur aus der Krypto-Szene. Peter Van Valkenburgh, Executive Director des Thinktanks Coin Center, verweist darauf, dass die Vereinten Nationen schätzen, dass nur etwa 0,2 Prozent der durch das Finanzsystem fließenden kriminellen Gelder tatsächlich beschlagnahmt oder eingefroren werden, während die globalen Compliance-Kosten in die Hunderte Milliarden US-Dollar pro Jahr gehen (coincenter.org). Sein Punkt: Ein System, das enorme Datenmengen und Kosten produziert, aber kaum Kriminalität verhindert, sollte sich fragen lassen, ob mehr desselben die richtige Antwort ist. Für DeFi bedeutet das eine doppelte Belastung: Es soll Pflichten erfüllen, deren Wirksamkeit selbst im traditionellen Finanzwesen fraglich ist. Dass der Anteil illegaler Aktivität am gesamten On-Chain-Volumen nach den meisten Erhebungen weiterhin deutlich unter einem Prozent liegt, verschärft dieses Missverhältnis eher, als es zu entschärfen.

Was das für deutsche Nutzer, Entwickler und Frontends bedeutet

Am Ende zählt die praktische Einordnung, und sie fällt für jede Rolle anders aus. Für Nutzer gilt: Die Selbstverwahrung von Kryptowerten und die Interaktion mit einem erlaubnisfreien Protokoll sind in Deutschland nicht per se verboten. Die eigentlichen Pflichten entstehen an den Rändern, nämlich steuerlich bei Veräußerungsgewinnen und geldwäscherechtlich beim Ein- und Auszahlen über einen regulierten Dienstleister, an dem Mittel aus illegalen Quellen eingefroren werden können. Wer glaubt, DeFi mache ihn unsichtbar, verwechselt Pseudonymität mit Anonymität.

Für Entwickler gilt die Galeotti-Linie: Das Schreiben und Veröffentlichen von Code ohne böse Absicht ist geschützt. Sobald jedoch eine Oberfläche betrieben, ein Relayer unterhalten, eine Gebühr vereinnahmt oder die Governance faktisch gesteuert wird, entsteht Verhalten, das als CASP-pflichtige Dienstleistung oder als Geldtransmission gewertet werden kann. Für Frontend-Betreiber ist die Lage am klarsten: Eine gehostete, auf deutsche Nutzer ausgerichtete Oberfläche ist mit hoher Wahrscheinlichkeit ein CASP und eine verpflichtete Stelle, mit Screening, Geoblocking, Identifizierung und Travel-Rule-Pflichten. Und für DAO-Teilnehmer bleibt die Ooki-Lehre: Aktive Governance kann Mitverantwortung begründen. Die regulatorische Landschaft rund um Staking und andere ertragsbringende On-Chain-Aktivitäten verschiebt sich dabei weiter, auch über regulierte Produkte; wie diese zweite Welle aus Staking und Altcoins die Aufsicht beschäftigt, ordnet unsere Übersicht zu den Krypto-ETFs 2026 und der zweiten Welle ein.

Die Kernfrage bleibt über alle Rollen hinweg dieselbe. Nicht ob etwas dezentral ist, sondern ob jemand Kontrolle ausübt und daraus Nutzen zieht. Wer diese Frage für ein konkretes Protokoll ehrlich beantwortet, weiß auch, ob und wo die Regel greift, ganz gleich, was auf der Startseite steht.

Frequently Asked Questions

Ist die Nutzung von DeFi in Deutschland legal?

Ja. Die Selbstverwahrung von Kryptowerten und die Interaktion mit erlaubnisfreien Protokollen sind nicht verboten. Pflichten entstehen an den Rändern: Gewinne aus Veräußerungen sind steuerpflichtig, und beim Ein- oder Auszahlen über einen regulierten Dienstleister greifen dessen Geldwäsche- und Identifizierungspflichten. Wer DeFi nutzt, sollte seine Transaktionen sauber dokumentieren.

Fällt DeFi unter MiCA?

Vollständig dezentrale Protokolle ohne identifizierbaren Betreiber fallen derzeit nicht unter MiCA, das Kryptowerte-Dienstleister und Emittenten reguliert. Sobald es aber ein Frontend, ein steuerndes Team oder eine beherrschende Governance gibt, kann eine CASP-Pflicht entstehen. Die laufende MiCA-Überprüfung, deren Konsultation am 31. August 2026 endet, könnte die Grenze neu ziehen.

Kann ich als Entwickler für einen Smart Contract haftbar gemacht werden?

Das bloße Schreiben und Veröffentlichen von Code ohne böse Absicht ist nach der im Fall Tornado Cash formulierten Linie geschützt. Haftung entsteht durch das Betreiben eines Dienstes rund um den Code, also durch eine Oberfläche, einen Relayer, Gebühren oder faktische Kontrolle. Der Fall Roman Storm, dessen Wiederaufnahme für Oktober 2026 angesetzt ist, ist hierfür der maßgebliche Präzedenzfall.

Was ist die Travel Rule und gilt sie für DeFi?

Die Travel Rule verpflichtet Kryptowerte-Dienstleister, bei Transfers Angaben zu Sender und Empfänger zu erheben und weiterzugeben; in der EU regelt das die Geldtransfer-Verordnung. Transfers zu oder von selbstverwahrten Wallets über 1.000 Euro lösen verschärfte Sorgfaltspflichten aus. Ein autonomes Protokoll ist nicht direkt betroffen, ein betriebenes Frontend als verpflichtete Stelle aber sehr wohl.

Was sind Privacy Pools und sind sie legal?

Privacy Pools sind ein Werkzeug, mit dem Nutzer per Zero-Knowledge-Beweis nachweisen, dass ihre Mittel nicht aus illegalen Quellen stammen, ohne ihre Identität offenzulegen. Sie zielen auf Privatsphäre bei gleichzeitiger Regelkonformität. Ihr rechtlicher Status ist noch nicht abschließend geklärt, insbesondere die Frage, ob der Betrieb eines solchen Systems als Geldtransmission gilt.

Von Anneke de Vries, leitende Redakteurin für Regulierung bei HOGE Wire.