DeFi-Compliance 2026: Was sie kostet und ob sie wirkt

Am 30. September 2026 ist in Brüssel ein Fenster zugefallen. Die Europäische Kommission hat ihre gezielte Konsultation zur Überarbeitung von MiCA geschlossen, 86 Fragen, ein eigener Abschnitt zu DeFi, Staking und Lending. ESMA und EBA haben ihre Stellungnahmen eingereicht, die Debatte über ein mögliches MiCA-2 läuft, und die Pflichtberichte an Parlament und Rat sollen bis zum 30. Juni 2027 folgen. Doch während Aufseher, Verbände und Lobbyisten um die nächste Regelschicht ringen, bleibt eine Frage auffällig unbeantwortet: Funktioniert das alles eigentlich?

Seit mehr als einem Jahrzehnt wird Compliance in die dezentrale Finanzwelt hineinkonstruiert, mal per Gerichtsurteil, mal per Gesetz, mal per stillem Druck auf eine Weboberfläche. Bitcoin notiert an diesem 8. Oktober bei rund 74.000 Euro, der DeFi-Markt bindet nach einem Einbruch von etwa 39 Prozent im Jahresverlauf wieder über 90 Milliarden US-Dollar, und Stablecoins summieren sich auf rund 293 Milliarden Dollar. Das ist genug Masse, um eine ehrliche Frage zu stellen, die im Regulierungsbetrieb selten jemand laut ausspricht.

Dieser Text zieht die Bilanz. Nicht, wer haftet, wenn nur Code läuft, und nicht, wie man ein regelkonformes Protokoll baut, sondern die härtere Frage: Was kostet DeFi-Compliance, was bringt sie, und an welcher Stelle versagt sie messbar? Die Antwort ist unbequemer, als es beide Lager gern hätten.

Warum die Kosten-Nutzen-Frage gerade jetzt dran ist

Lange war DeFi-Compliance ein theoretisches Problem. Die Protokolle waren klein, die Aufseher zögerten, und der Streit drehte sich um Grundsatzfragen: Ist Code Meinungsäußerung? Kann ein Smart Contract Geldwäsche begehen? Diese Phase ist vorbei. 2026 steht ein Regelwerk, das reif genug ist, um geprüft zu werden, nicht mehr nur diskutiert. In der EU greifen MiCA, die Geldwäscheverordnung AMLR, die Transferverordnung und DORA ineinander; in den USA liefern GENIUS Act, SEC-Vorstöße und eine Serie von Strafprozessen die Bausteine. Die Werkzeuge sind da. Es fehlt die Abrechnung.

Der jüngste Schritt zeigt, wohin die Reise geht. Statt den Code selbst zu regulieren, zielt die EU auf die Zugangspunkte: Weboberflächen, Wallets, Aggregatoren, Fiat-Rampen. Wir haben diesen Ansatz an anderer Stelle ausführlich beschrieben, als die EU die Tür regulierte, nicht den Code. Für eine Bilanz ist das die entscheidende Verschiebung: Wenn die Regel nicht mehr das Protokoll trifft, sondern die Tür davor, ändert sich auch die Rechnung, wer die Kosten trägt und wer von außen überhaupt erreichbar bleibt.

Hinzu kommt ein nüchterner Grund, ausgerechnet jetzt zu bilanzieren: Es liegen endlich belastbare Zahlen vor. Die FATF hat 2026 ihren ersten DeFi-Bericht vorgelegt, Chainalysis seinen Jahresbericht zur Kryptokriminalität, und ein paar unabhängige Ökonomen haben nachgerechnet, was das klassische Geldwäscheregime über alle Branchen hinweg kostet und bringt. Erst damit lässt sich die Frage vom Bauchgefühl lösen.

Was unter DeFi-Compliance überhaupt fällt

Bevor man etwas bewertet, muss man es abgrenzen. „DeFi-Compliance“ ist kein einzelnes Gesetz, sondern ein Bündel von fünf Regelkreisen, die sich teils überlappen, teils widersprechen. Wichtig für deutsche Leser: MiCA und die BaFin regulieren Dienstleister und Emittenten, nicht autonome Protokolle. Die Auslegungshilfe der BaFin zu Kryptowerte-Dienstleistungen stellt genau das klar: Erfasst wird, wer eine Dienstleistung erbringt, nicht die Software an sich. Die folgende Tabelle ordnet die fünf Kreise und ihre Kosten- wie Nutzenträger.

Jeder dieser Kreise bringt eigene Kosten mit sich und verspricht einen eigenen Nutzen. Die Geldwäscheaufsicht will illegale Ströme stoppen, die Sanktionsaufsicht bestimmte Akteure aussperren, MiCA die Anleger schützen, MiFID II die Spekulation einhegen, die Steuerregeln den Fiskus bedienen. Eine Bilanz muss jeden Kreis einzeln prüfen, denn das pauschale Urteil „Compliance ist Last“ oder „Compliance ist Schutz“ verdeckt, dass die Kosten-Nutzen-Rechnung je nach Ziel völlig unterschiedlich ausfällt.

Die Regel trifft Menschen, nicht Code

Der ganze Streit hängt an einer scheinbar technischen Frage: An wen richtet sich die Pflicht, wenn die Dienstleistung nur noch aus Software besteht? Die FATF hat darauf 2026 eine Antwort gegeben, die für die Bilanz zentral ist. In ihrem gezielten Bericht zur dezentralen Finanz formuliert sie den Test der Kontrolle oder des hinreichenden Einflusses (control or sufficient influence, kurz COSI): Wer über ein DeFi-Arrangement Kontrolle oder maßgeblichen Einfluss ausübt, fällt unter die Pflichten für Virtual Asset Service Provider, egal wie „dezentral“ das Projekt sich nennt.

Die Analyse von Chainalysis zum Bericht teilt die Welt in drei Gruppen: Erstens Projekte mit identifizierbaren Betreibern, die voll den Pflichten unterliegen. Zweitens faktisch zentralisierte Projekte mit verborgenen Betreibern, die ebenfalls im Anwendungsbereich bleiben; hier sollen Aufseher die Verantwortlichen mit Blockchain-Analyse aufspüren. Drittens echte führerlose Protokolle, die außerhalb der VASP-Regeln liegen, aber weiterhin risikobasiert beobachtet werden müssen. Als Kontrollindikatoren nennt die FATF unter anderem die Konzentration von Governance-Token, Admin-Rechte und Upgrade-Schlüssel, die Richtung der Gebührenströme sowie den Einfluss auf Entwicklerteam und Front-end-Infrastruktur.

Genau diese Indikatoren sind der Grund, warum die Diskussion um Validator- und Governance-Konzentration mehr ist als Technik. Wenn ein kleiner Kreis die Schlüssel hält, ist das Protokoll aus Sicht der Aufsicht kontrolliert, egal was das Marketing behauptet; die Debatte um die Konsolidierung von Validatoren und DVT ist deshalb auch eine Compliance-Debatte. Und die Zahlen zeigen, wie weit Theorie und Praxis auseinanderliegen: Laut FATF hatten rund 93 Prozent der untersuchten Länder noch kein einziges qualifizierendes DeFi-Arrangement identifiziert, nur vier Jurisdiktionen hatten eine Lizenzpflicht durchgesetzt, und ganze eine hatte eine Durchsetzungsmaßnahme ergriffen. Das Regelwerk existiert. Angewendet wird es fast nirgends.

Die Nutzenseite: die Blockchain als Beweismittel

Beginnen wir mit dem stärksten Argument der Befürworter, und es ist ein gutes. Anders als Bargeld hinterlässt eine On-Chain-Transaktion eine dauerhafte, öffentliche Spur. Was Kritiker als Überwachung geißeln, ist für Ermittler ein Werkzeug, das es in der klassischen Finanzwelt in dieser Form nie gab. Jede Zahlung, jede Brücke, jeder Mixer-Eingang ist für immer sichtbar. Die Blockchain vergisst nicht.

Dieser Vorteil ist vor Gericht angekommen. Im Verfahren gegen den Betreiber des Mixers Bitcoin Fog prüfte Bundesrichter Randolph Moss in einer Daubert-Anhörung, ob die Forensik-Software von Chainalysis als Beweismittel taugt, und befand, es gebe „substantial evidence“ dafür, dass das Werkzeug „highly reliable“ (hochgradig verlässlich) sei. Die Blockchain-Forensik aus Cluster-Analyse, Transaktionsverfolgung und Heuristik ist damit kein Hilfsmittel mehr, sondern gerichtsfester Beweis. Für Strafverfolger ist das ein handfester Nutzen, der sich der Transparenz der Kette verdankt, nicht trotz ihr.

Und die Dimension stimmt: Trotz eines Rekordwerts bleiben illegale Transaktionen laut dem Crypto Crime Report 2026 von Chainalysis bei weniger als 1 Prozent des gesamten On-Chain-Volumens. Wer behauptet, Krypto sei vor allem ein Geldwäschevehikel, widerspricht den Daten. Die Transparenz der Kette macht Kriminalität nicht unmöglich, aber sie macht sie nachverfolgbar, und sie liefert der Justiz Material, das bei Koffern voll Bargeld schlicht fehlt. Das ist die Nutzenseite in ihrer ehrlichsten Form, und man muss sie anerkennen, bevor man die Rechnung aufmacht.

Die Kostenseite: 26 Milliarden Dollar für einen Bruchteil

Jetzt die andere Spalte. Der Nutzen der Nachverfolgbarkeit ist real, aber das Geldwäscheregime, das ihn trägt, ist teuer, und sein Wirkungsgrad ist erschreckend niedrig. Die genauesten verfügbaren Zahlen stammen nicht aus Krypto, sondern aus dem klassischen Finanzsystem, und sie sind das beste verfügbare Spiegelbild. Die Denkfabrik Coin Center hat sie in ihrer Analyse Tear Down this Walled Garden zusammengetragen.

Erstens die Kosten: Eine LexisNexis-Studie bezifferte die jährlichen Compliance-Kosten allein in den USA auf mehr als 26 Milliarden US-Dollar, einzelne Großbanken geben über 10 Milliarden pro Jahr aus. Zweitens die Wirkung: Nach einer vielzitierten Schätzung der Vereinten Nationen werden lediglich 0,2 Prozent der kriminellen Gelder, die durch das Finanzsystem fließen, tatsächlich beschlagnahmt oder eingefroren. Der Kriminologe Ronald Pol kommt in seiner Forschung sogar auf rund 0,1 Prozent, und merkt an, dass selbst dieser Wert die Wirkung überzeichnet, weil ein Großteil der Beschlagnahmen anderen, AML-fremden Polizeimethoden zu verdanken sei.

Peter Van Valkenburgh, Forschungsleiter bei Coin Center, zieht daraus ein hartes Fazit: Bei all der Überwachung und dem Papierkram, den es verlange, leiste das bestehende AML/KYC-Regime „remarkably little“ (bemerkenswert wenig), um illegale Finanzierung zu verhindern. Das ist keine Krypto-Polemik, sondern eine Aussage über das Gesamtsystem, auf das die Krypto-Regeln aufsetzen. Wer DeFi dieselbe Last aufbürdet, importiert damit auch deren Wirkungsgrad.

Hinzu kommt eine Verteilungsfrage, die in Deutschland selten diskutiert wird: Die Kosten sind regressiv. Sie treffen die Regeltreuen, die ihre Identität preisgeben, Gebühren zahlen und Reibung ertragen, während die Entschlossenen Wege außen herum finden. Ein kleines Berliner Start-up, das eine Weboberfläche betreibt, trägt denselben rechtlichen Erwartungsdruck wie eine Bank, aber ohne deren Compliance-Abteilung. Der Zoll fällt auf die, die ohnehin kooperieren würden.

Das Verdrängungsproblem: Compliance verschiebt, sie verhindert nicht

Hier wird die Bilanz richtig unbequem. Compliance wirkt lokal: Sie schließt eine Tür, sperrt eine Adresse, zwingt eine Oberfläche zum Filtern. Aber Geld ist flüssig, und wenn man an einer Stelle drückt, tritt es an anderer wieder aus. Der Chainalysis-Bericht 2026 macht das Muster sichtbar. Das von illegalen Adressen empfangene Volumen stieg 2025 auf mindestens 154 Milliarden Dollar, ein Plus von 162 Prozent, getrieben vor allem von sanktionierten Akteuren, deren Zuflüsse um 694 Prozent zulegten.

Noch deutlicher ist die Verschiebung beim Instrument: 84 Prozent des illegalen Transaktionsvolumens liefen 2025 über Stablecoins, nicht über Bitcoin oder anonyme Coins. Ein einzelner, rubelgedeckter Stablecoin namens A7A5 wickelte in weniger als einem Jahr 93,3 Milliarden Dollar ab. Kriminelle schätzen an Stablecoins dasselbe wie legitime Nutzer: schnelle grenzüberschreitende Transfers, geringe Volatilität, breite Akzeptanz. Je härter die regulierten Rampen und Oberflächen gefiltert werden, desto attraktiver werden selbstverwahrte Wallets, Offshore-Anbieter und Instrumente, die sich dem Zugriff entziehen.

Das ist der zentrale Konstruktionsfehler einer Compliance, die über Zugangspunkte wirkt: Sie erfasst den Gelegenheitsnutzer und den Fahrlässigen zuverlässig, aber den organisierten, gut beratenen Akteur nur so lange, bis er eine Umgehung gefunden hat. Die FATF nennt das selbst ein Risiko: Das Etikett „DeFi“ lasse faktisch zentralisierte Plattformen außerhalb der Aufsicht erscheinen, und die, die wirklich führerlos sind, lassen sich ohnehin nicht zur Kasse bitten. Wirksamkeit und Umgehbarkeit sind hier zwei Seiten derselben Medaille.

Der Freeze-Button: wo Compliance wirklich beißt

Es gibt eine Stelle, an der DeFi-Compliance nicht nur verschiebt, sondern tatsächlich durchgreift, und sie liegt nicht im Protokoll, sondern im Settlement-Asset. Fast jede DeFi-Transaktion läuft über einen Stablecoin, und dessen Emittent ist ein zentrales, reguliertes Unternehmen. Der US-amerikanische GENIUS Act verlangt von Emittenten von Zahlungs-Stablecoins ausdrücklich die technische Fähigkeit, Guthaben auf rechtmäßige Anordnung einzufrieren, zu beschlagnahmen oder zu vernichten. MiCA verlangt von Emittenten von E-Geld-Token und wertreferenzierten Token nichts grundlegend anderes.

Damit sticht der Freeze-Button jede noch so elegante Dezentralisierung. Ein Protokoll kann führerlos sein, seine Verträge unveränderlich, seine Governance verteilt, und trotzdem lässt sich jede darin gehaltene USDC- oder USDT-Position per Blacklist-Eintrag beim Emittenten einfrieren. Wir haben an anderer Stelle beschrieben, wie der Freeze-Button zum eigentlichen Regelwerk der FATF geworden ist; auch die FATF-Leitlinie von 2026 drängt auf eben diese Einfrier- und Vernichtungsfähigkeit. Für die Bilanz heißt das: Der wirksamste Hebel der DeFi-Compliance ist der am wenigsten dezentrale Teil des Stacks.

Das hat eine Kehrseite, die über Geldwäsche hinausgeht. Ein Kill-Switch, der gegen Kriminelle funktioniert, funktioniert technisch gegen jeden. Wer die Fähigkeit schafft, Vermögen auf Anordnung einzufrieren, schafft zugleich ein Instrument, dessen Reichweite von der Qualität der Anordnung abhängt. Der Nutzen ist konkret und messbar, die Kosten liegen im Konzentrationsrisiko: Die gesamte Compliance-Last ruht am Ende auf einer Handvoll Emittenten, die zu Torwächtern des ganzen Systems werden.

Was wirksam eigentlich heißen würde

Die eigentliche Schwäche der Debatte ist, dass fast niemand definiert, was Erfolg wäre. Eine Kosten-Nutzen-Bilanz braucht eine Messgröße, und davon gibt es drei plausible: die Beschlagnahmequote (wie viel krimineller Ertrag wird tatsächlich gestoppt), die Abschreckung (wie viel Kriminalität findet gar nicht erst statt) und die Verdrängung (wie viel wandert nur in andere Kanäle). Das Problem: Die erste Größe ist winzig, die zweite kaum messbar, die dritte wächst. Die Abschreckung ist dabei die stille Hoffnung des ganzen Systems, aber sie ist auch die am schwersten belegbare; eine seriöse Zahl, wie viel DeFi-Kriminalität die Regeln verhindert haben, existiert schlicht nicht.

Stellt man Nutzen und Kosten nebeneinander, ergibt sich ein Bild, das keiner der beiden Lager mag. Die folgende Tabelle fasst die Bilanz zusammen, so ehrlich wie die Datenlage es erlaubt.

Die Tabelle macht das Grundmuster sichtbar: Der Nutzen liegt vor allem in der Forensik und der Rückverfolgung nach der Tat, die Kosten in Geld, Reibung und verschobener Aktivität. Als Ermittlungshilfe funktioniert das System gut. Als Mauer, die Kriminalität abhält, funktioniert es schlecht, und das zu einem hohen Preis.

Die Tür statt des Codes: rechnet sich der EU-Ansatz?

Europa hat aus dem Dilemma eine pragmatische Konsequenz gezogen. Da sich ein führerloses Protokoll nicht sinnvoll adressieren lässt, zielt die EU auf die Zugangspunkte. In ihrer Stellungnahme zur MiCA-Überarbeitung schlägt ESMA einen neuen regulierten Dienst für Anbieter vor, die Zugang zu DeFi-Protokollen vermitteln, also Weboberflächen, Wallets und Aggregatoren. Die EBA will das Kreditgeschäft erfassen, auch dort, wo CASPs den Zugang zu dezentralen Protokollen vermitteln. Die Logik ist bestechend einfach: Wenn man den Code nicht fassen kann, fasst man die Tür davor.

Ob sich das rechnet, ist offen, und nicht jeder in Brüssel ist überzeugt. Peter Kerstens, Berater der Europäischen Kommission und einer der Architekten von MiCA, hält einen eigenen DeFi-Rahmen für verfrüht. Gesetze gälten für Menschen und Organisationen, nicht für Computernetzwerke, sagte er; DeFi sei eher eine Bewegung ohne Repräsentanten. Sein Satz dazu ist in der Berichterstattung von Cointelegraph überliefert: „I don’t see what the problem is. And if there is no problem, why should it be regulated?“ Die EU solle sich lieber auf Tokenisierung und einen breiteren Rahmen für reale Vermögenswerte konzentrieren als auf ein MiCA-2 gegen DeFi.

Die Kosten dieses Ansatzes sind konkret: Jeder zusätzliche lizenzpflichtige Dienst erhöht die Markteintrittsschwelle, und je breiter man „Zugang“ definiert, desto mehr Open-Source-Entwickler geraten in die Nähe einer Erlaubnispflicht. Der Nutzen hängt daran, ob die wenigen greifbaren Türen tatsächlich die Ströme kanalisieren, oder ob die Aktivität nur zu Oberflächen außerhalb der EU abwandert. Die Verdrängungslogik aus dem vorigen Abschnitt gilt auch hier.

Der Fall Tornado Cash: die teuerste Zeile Code

Keine Episode zeigt die Kostenseite der Durchsetzung schärfer als Tornado Cash. Zuerst der juristische Teilerfolg für die Branche: Im Verfahren Van Loon gegen das US-Finanzministerium entschied der Fifth Circuit Ende 2024, dass unveränderliche Smart Contracts kein „Eigentum“ im Sinne des Sanktionsrechts seien, weil niemand sie besitzt oder kontrolliert; die US-Sanktionsbehörde OFAC nahm Tornado Cash daraufhin am 21. März 2025 von der Liste. Code allein, so die Lehre, lässt sich nicht sanktionieren.

Der strafrechtliche Teil verlief anders. Entwickler Roman Storm wurde im August 2025 wegen Verschwörung zum Betrieb eines unlizenzierten Geldtransmitters verurteilt; in den Punkten Geldwäsche und Sanktionsverstoß blieb die Jury gespalten. Der Wiederaufnahmeprozess zu genau diesen beiden Punkten ist inzwischen auf den 26. April 2027 vertagt, vor Bundesrichterin Katherine Polk Failla. Jahre an Verfahren, Verteidigungskosten in Millionenhöhe und eine ungeklärte Rechtsfrage, ob das Schreiben von Software zum Verbrechen werden kann: Das ist eine Position auf der Kostenseite, die selten in die Rechnung eingeht.

Selbst im US-Justizministerium ist diese Spannung angekommen. Matthew Galeotti, ranghoher Vertreter der Kriminalabteilung, formulierte 2025 den Grundsatz, das bloße Schreiben von Code ohne böse Absicht sei kein Verbrechen: „merely writing code without ill intent is not a crime“. Die Kosten liegen hier nicht nur im einzelnen Prozess, sondern im Abschreckungseffekt auf legitime Entwickler. Wer quelloffene Infrastruktur baut, etwa die Werkzeuge für dezentrale Inferenz und andere offene Netzwerke, muss abwägen, ob veröffentlichter Code ihn in die Nähe einer Straftat rückt. Dieser Chilling-Effekt ist ein realer Preis, auch wenn er in keiner LexisNexis-Tabelle auftaucht.

Front-ends, DAOs und autonome Agenten

Wenn der Code unantastbar ist, landet die Durchsetzung dort, wo sie etwas zu greifen findet. Das ist erstens das Front-end. Die Verträge selbst sind zensurresistent, aber die gehostete Weboberfläche ist eine juristische Person mit Server, Firmensitz und Haftung. Uniswap Labs etwa filtert mit Daten von TRM Labs; nach eigenen Angaben wurden hunderte Adressen von der Oberfläche ausgesperrt, darunter OFAC-gelistete und als gestohlen oder Ransomware markierte. Die On-Chain-Logik blieb unberührt, die Tür davor nicht. Das ist billig durchzusetzen und deshalb der bevorzugte Angriffspunkt der Aufsicht, aber es trifft eben nur den, der die Oberfläche nutzt, statt direkt mit dem Vertrag zu sprechen.

Zweitens die Organisationsform. Die US-Derivateaufsicht CFTC erwirkte 2023 ein Versäumnisurteil gegen die Ooki DAO: Eine DAO sei eine nicht eingetragene Vereinigung und damit eine „Person“ im Sinne des Gesetzes, die abstimmenden Token-Inhaber seien ihre Mitglieder. Die Strafe betrug 643.542 US-Dollar, die Website wurde abgeschaltet. Die Botschaft: Wer über ein Protokoll mitbestimmt, kann mithaften. Das ist die Durchsetzungslogik des Kontrolltests in Reinform.

Und drittens eine Front, die 2026 erst entsteht: autonome Software-Agenten. Wenn ein KI-Agent eigenständig mit einem DeFi-Protokoll handelt, keine Weboberfläche nutzt und keinen menschlichen Auslöser hat, wer ist dann der verpflichtete Akteur? Die Frage ist nicht hypothetisch; wir haben sie am Beispiel von KI-Agenten ohne menschliche Freigabe ausführlich behandelt. Für die Bilanz ist sie zentral: Das gesamte Compliance-Gebäude setzt einen identifizierbaren Menschen oder ein Unternehmen voraus, an das die Pflicht andockt. Je autonomer die Handelnden werden, desto öfter läuft dieser Mechanismus ins Leere, und desto mehr Gewicht verlagert sich zurück auf den Freeze-Button am Settlement-Asset.

Was deutsche Nutzer, Entwickler und CASPs konkret tragen

Für deutsche Leser lässt sich die abstrakte Bilanz herunterbrechen. Ein in Deutschland zugelassener CASP arbeitet seit dem Ende der verkürzten MiCA-Übergangsfrist unter voller BaFin-Aufsicht nach dem Kryptomärkteaufsichtsgesetz (KMAG). Dazu kommen ab dem 10. Juli 2027 die direkt geltende Geldwäscheverordnung AMLR und die neue EU-Behörde AMLA mit Sitz in Frankfurt, die die risikoreichsten Verpflichteten künftig direkt beaufsichtigt. Das ist ein dichtes, teures Pflichtenheft, und es trifft den lizenzierten Anbieter mit voller Wucht.

Für den einzelnen Nutzer heißt das vor allem Reibung: KYC bei jeder regulierten Rampe, verschärfte Sorgfaltsprüfungen bei Transfers von und zu selbstverwahrten Wallets, Meldepflichten der Plattformen an die Finanzämter über DAC8. Für einen kleinen deutschen Entwickler, der ein Front-end oder ein Tool baut, ist die Lage am prekärsten: Er trägt rechtliche Unsicherheit, aber nicht die Ressourcen einer Rechtsabteilung. Genau hier wirkt die regressive Kostenverteilung aus der Bilanz oben, und genau hier entscheidet sich, ob Europa Entwickler hält oder exportiert.

Die Pointe für Deutschland: Der wirksamste Hebel, der Freeze-Button am Stablecoin, liegt gar nicht in deutscher oder europäischer Hand, sondern bei den überwiegend US-regulierten Emittenten. Deutsche Aufsicht kann Rampen und Oberflächen regulieren, aber das scharfe Instrument sitzt am Settlement-Asset, und das kontrolliert ein anderer Rechtsraum. Das ist ein stiller, aber gewichtiger Posten auf der Kostenseite der europäischen Rechnung.

Die Bilanz: funktioniert es?

Zeit für das Urteil, Ziel für Ziel. Die EU wird weiter regeln: Die MiCA-Konsultation ist seit dem 30. September geschlossen, die Pflichtberichte sollen bis 30. Juni 2027 vorliegen, ein mögliches MiCA-2 läge frühestens 2028. Parallel wird mit der AMLR ab 10. Juli 2027 und der AMLA in Frankfurt das Geldwäscheregime vereinheitlicht. Mehr Regeln sind also sicher. Die Frage ist, ob sie an den Zielen etwas ändern.

Das Muster ist eindeutig und für beide Lager unbequem. DeFi-Compliance funktioniert hervorragend als Forensik- und Beweisinstrument nach der Tat, mäßig bis gut bei gezielten Sanktionen über den Freeze-Button, und schlecht als breite Mauer gegen Geldwäsche. Der Preis ist hoch, fällt überproportional auf die Regeltreuen, und das einzige wirklich scharfe Werkzeug, der Kill-Switch am Stablecoin, ist zugleich der am stärksten zentralisierte Teil des Systems. Die Behauptung, Compliance stoppe das Verbrechen, hält den Daten nicht stand. Die Behauptung, sie bringe nichts, auch nicht.

Was würde die Rechnung verbessern? Eine ehrliche Bilanz legt drei Schlüsse nahe. Erstens: messen statt annehmen, also Beschlagnahme-, Abschreckungs- und Verdrängungsquoten erheben, bevor man die nächste Regelschicht auflegt. Zweitens: zielgenau statt flächig, denn die gerichtsfeste Blockchain-Spur ist der Hebel mit dem besten Verhältnis von Nutzen zu Kosten, pauschale KYC-Pflichten an jeder Tür der schwächste. Drittens: die regressive Last anerkennen, damit nicht ausgerechnet der kleine, kooperative Entwickler den Preis für eine Mauer zahlt, die den Entschlossenen ohnehin nicht aufhält. Kerstens hat insofern einen Punkt: Wo kein belegbares Problem ist, ist auch die Regel eine Kostenposition ohne Gegenwert.

Häufig gestellte Fragen

Was bedeutet DeFi-Compliance?

DeFi-Compliance ist das Bündel aus Geldwäsche-, Sanktions-, Markt-, Derivate- und Steuerregeln, das auf dezentrale Finanzprotokolle angewendet wird. In der EU setzen MiCA, die AMLR und die Transferverordnung bei den Dienstleistern und Zugangspunkten an, nicht am Code selbst; die BaFin reguliert Anbieter und Emittenten, nicht das Protokoll.

Fällt ein DeFi-Protokoll unter MiCA?

Autonome, führerlose Protokolle fallen grundsätzlich nicht unter MiCA, das Dienstleister (CASPs) und Emittenten reguliert. Sobald aber eine Person oder ein Unternehmen Kontrolle oder maßgeblichen Einfluss ausübt, etwa über Admin-Schlüssel, Governance oder das Front-end, kann die Aufsicht greifen. ESMA will zudem Anbieter erfassen, die Zugang zu DeFi-Protokollen vermitteln.

Funktioniert die Geldwäscheaufsicht bei DeFi?

Nur begrenzt. Das klassische AML-Regime kostet allein in den USA über 26 Milliarden Dollar pro Jahr, beschlagnahmt aber laut UN-Schätzung nur rund 0,2 Prozent der kriminellen Gelder. Bei DeFi kommt hinzu, dass 84 Prozent des illegalen Volumens über Stablecoins laufen und sich Aktivität leicht in unregulierte Kanäle verschiebt. Als Ermittlungshilfe funktioniert das System besser denn als Mauer.

Was ist der FATF-Kontrolltest (COSI)?

Der COSI-Test (control or sufficient influence) der FATF prüft, ob eine Person oder Organisation Kontrolle oder hinreichenden Einfluss über ein DeFi-Arrangement ausübt. Indikatoren sind Token-Konzentration, Admin- und Upgrade-Rechte, Gebührenströme und Einfluss auf Team und Front-end. Trifft das zu, gilt das Arrangement als Dienstleister mit vollen Pflichten, egal wie dezentral es sich nennt.

Können Behörden Guthaben in DeFi einfrieren?

Direkt im Protokoll meist nicht, aber über das Settlement-Asset sehr wohl. Emittenten von Stablecoins müssen nach dem US-GENIUS Act und sinngemäß unter MiCA die technische Fähigkeit vorhalten, Guthaben auf rechtmäßige Anordnung einzufrieren oder zu vernichten. Damit lässt sich eine Position selbst in einem vollständig dezentralen Protokoll sperren, solange sie in einem regulierten Stablecoin gehalten wird.

Von Anneke de Vries, Regulierungsredaktion HOGE Wire.