Code vor Gericht: Wann DeFi-Entwickler strafbar werden

Drei Männer, drei Urteile, eine Frage. Roman Storm wurde im August 2025 in New York schuldig gesprochen, ein nicht lizenziertes Geldtransfergeschäft betrieben zu haben. Alexey Pertsev verbüßt in den Niederlanden eine Haftstrafe von 64 Monaten, derzeit unter elektronischer Überwachung, während seine Berufung läuft. Keonne Rodriguez und William Lonergan Hill, die Gründer von Samourai Wallet, bekannten sich im Juli 2025 schuldig und gingen im November 2025 für fünf beziehungsweise vier Jahre ins Gefängnis. Alle drei Fälle kreisen um dieselbe Frage, die 2026 jeden ernsthaften DeFi-Entwickler umtreibt: Ist das Veröffentlichen von Code eine Straftat?

Die Antwort ist unbequem, weil sie nicht „ja“ oder „nein“ lautet, sondern „es kommt darauf an“. Sie hängt nicht davon ab, wie dezentral eine Anwendung aussieht, sondern davon, wie viel Kontrolle ein Mensch über sie behält und ob er daran verdient. Dieser Maßstab, Kontrolle statt Etikett, zieht sich durch das US-Strafrecht, durch ein niederländisches Berufungsgericht und durch das europäische Regelwerk, das ab 2027 greift. Bei einem Bitcoin-Kurs von rund 73.000 Euro und einem Stablecoin-Markt von knapp 300 Milliarden US-Dollar ist dezentrale Finanz zu groß geworden, um sie als juristische Randnotiz zu behandeln. Warum der Kurs im Oktober trotzdem stockt, haben wir an anderer Stelle beschrieben.

Für Leser in Deutschland ist das keine ferne US-Debatte. Der schärfste Fall auf europäischem Boden, Pertsev, wurde in den Niederlanden verhandelt, nicht in Washington. Und das deutsche Recht kennt mit § 261 StGB, dem Kryptomärkteaufsichtsgesetz und der künftigen EU-Geldwäscheverordnung drei eigene Hebel, die denselben Entwickler treffen können. Dieser Text sortiert die Fälle, den juristischen Maßstab und die konkreten Risiken, die ein Open-Source-Entwickler hierzulande heute trägt. Wer zivil- und aufsichtsrechtlich haftet, wenn nur Code läuft, haben wir im Begleitstück aufgeschlüsselt; hier geht es um das Strafrecht.

Der Unterschied zwischen Code und Betrieb

Die zentrale Trennlinie klingt einfach und ist in der Praxis doch schwer zu ziehen. Reines Schreiben und Veröffentlichen von Software ist in den meisten Rechtsordnungen keine Straftat; das Betreiben eines Dienstes rund um diese Software kann eine sein. Matthew Galeotti, zum fraglichen Zeitpunkt kommissarischer Leiter der Strafrechtsabteilung des US-Justizministeriums, stellte im August 2025 klar, dass nach Auffassung seines Hauses das bloße Schreiben von Code ohne böse Absicht keine Straftat sei. Der Nachsatz, ohne böse Absicht, trägt das ganze Gewicht.

Denn sobald ein Entwickler nicht nur veröffentlicht, sondern eine laufende Infrastruktur unterhält, Gebühren einzieht, eine Weboberfläche betreibt, einen Relayer bereitstellt oder Nutzer aktiv anleitet, verschiebt sich die Einordnung vom Werk zur Handlung. Aus „ich habe Code geschrieben“ wird „ich habe einen Dienst betrieben“. In den USA fällt genau diese Grenze mit dem Vorwurf zusammen, ein nicht lizenziertes Geldtransfergeschäft nach 18 U.S.C. § 1960 zu betreiben. In Deutschland entspricht ihr die Erlaubnispflicht nach dem Kryptomärkteaufsichtsgesetz. Das Etikett „dezentral“ schützt nicht, wenn im Hintergrund eine Person die Fäden zieht.

Der Kontrolltest, an dem sich alles entscheidet

Die Financial Action Task Force (FATF), der globale Standardsetzer für Geldwäschebekämpfung, hat die Formel geliefert, an der sich inzwischen Strafgerichte wie Aufseher orientieren. In ihrem Bericht zu den regulatorischen Herausforderungen dezentraler Finanz vom Juli 2026 beschreibt sie den Kontroll-oder-Einfluss-Test (control or sufficient influence): Eine DeFi-Anwendung fällt überall dort unter die Geldwäscheregeln, wo eine natürliche oder juristische Person Kontrolle oder hinreichenden Einfluss ausübt.

Die FATF unterscheidet drei Fälle. Erstens: identifizierbare Betreiber, die dann als Dienstleister die volle Geldwäscheaufsicht tragen. Zweitens: faktisch zentralisierte Anwendungen, deren Betreiber sich verstecken, die aber trotzdem erfasst bleiben. Drittens: echte herrenlose Protokolle, die aus dem Dienstleister-Rahmen fallen, bei denen aber Restrisiken zu mindern sind. Als Kontrollindikatoren nennt die FATF unter anderem die Konzentration von Governance-Token, Administrations- und Upgrade-Rechte, die Richtung von Gebühren- und Treasury-Strömen sowie Einfluss auf Entwicklerteam und Front-end-Infrastruktur.

Die Zahlen zeigen, wie weit Anspruch und Wirklichkeit auseinanderliegen: Rund 93 Prozent der untersuchten Jurisdiktionen (132 von 143) hatten die Standards für erfassungspflichtige DeFi-Anwendungen noch nicht umgesetzt, nur zwei von 142 hatten überhaupt eine solche Anwendung lizenziert oder registriert. Der praktische Effekt ist ernüchternd: Wo kein Aufseher greift, greift am Ende der Staatsanwalt. Kontrolle ist der rote Faden, der die vier großen Fälle dieses Jahres verbindet.

Diese drei Kategorien erklären die scheinbar widersprüchlichen Urteile. Van Loon fällt in die dritte: ein Protokoll ohne Betreiber, das niemand mehr steuern kann. Storm und Samourai fallen in die erste: identifizierbare Personen, die eine laufende Oberfläche, Gebühren und Marketing kontrollierten. Pertsev liegt dazwischen, und genau deshalb ist seine Berufung so wichtig, denn sie klärt, wie viel Resteinfluss aus einem Autor einen Betreiber macht. Wer die Fälle nebeneinanderlegt, sieht nicht Willkür, sondern denselben Test in drei Ausprägungen.

Van Loon: wenn Code niemandem gehört

Der erste der vier Fälle ging zugunsten des Codes aus. Am 26. November 2024 entschied das US-Bundesberufungsgericht für den Fifth Circuit in der Sache Van Loon gegen das Finanzministerium, dass das Office of Foreign Assets Control (OFAC) seine Befugnisse überschritten hatte, als es die Smart Contracts von Tornado Cash auf die Sanktionsliste setzte. Die Begründung: Die unveränderlichen Smart Contracts seien kein Eigentum im Sinne des International Emergency Economic Powers Act, weil niemand sie besitzen, kontrollieren oder verändern kann.

Entscheidend war die Unveränderlichkeit. Mehr als tausend Teilnehmer hatten in einer sogenannten trusted setup ceremony die Möglichkeit unwiderruflich entfernt, den Code noch zu ändern oder abzuschalten. Was niemandem gehört und von niemandem gesteuert werden kann, lässt sich auch nicht sanktionieren. Das Finanzministerium nahm Tornado Cash im März 2025 von der Liste. Van Loon markiert damit die Obergrenze dessen, was „Code ist frei“ bedeutet: Ein wirklich herrenloses Protokoll ist kein Rechtssubjekt. Der Haken ist nur, dass die wenigsten DeFi-Anwendungen wirklich herrenlos sind, und dass die Entscheidung nichts über die strafrechtliche Verantwortung der Menschen aussagt, die das Protokoll gebaut und betrieben haben.

Wichtig für europäische Leser ist außerdem, was Van Loon nicht entschieden hat. Das Urteil betrifft allein die Sanktionsbefugnis einer US-Behörde unter einem US-Gesetz; es sagt nichts darüber, ob ein Entwickler sich strafbar gemacht hat, und es bindet kein europäisches Gericht. Ein deutscher oder niederländischer Richter kann denselben Code ganz anders bewerten, zumal das kontinentaleuropäische Recht keine mit der US-Meinungsfreiheit vergleichbare Schutzschranke für Software kennt. Van Loon ist ein starkes Signal für die Unantastbarkeit herrenlosen Codes, aber kein Freibrief für die Menschen dahinter.

Roman Storm: der Betrieb macht den Täter

Denn parallel zur Sanktionsfrage lief ein Strafverfahren gegen einen Menschen. Roman Storm, Mitentwickler von Tornado Cash, wurde im August 2025 vor einem Bundesgericht in Manhattan wegen Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts schuldig gesprochen. Bei den beiden anderen Anklagepunkten, Verschwörung zur Geldwäsche und zum Sanktionsbruch, konnte sich die Jury nicht einigen. Für diese offenen Punkte hat Richterin Katherine Polk Failla eine Neuverhandlung auf den 26. April 2027 angesetzt; jeder Punkt wiegt bis zu 20 Jahre Haft.

Der Schuldspruch im ersten Verfahren zeigt, wo die Grenze aus dem vorigen Abschnitt konkret verläuft. Nicht das Schreiben der Verträge brachte Storm vor Gericht, sondern alles, was drumherum betrieben wurde: eine Weboberfläche, über die Nutzer den Mixer bedienten, ein Relayer-System, Gebühren und ein Governance-Token. Aus Sicht der Geschworenen war das genug, um aus Entwicklung einen Betrieb zu machen. Sein Verteidiger Brian Klein hält dagegen, die Anklage habe nie genug Beweise für die Schuldsprüche vorgelegt, und beruft sich darauf, dass Storms Arbeit die Veröffentlichung quelloffener Software war. Genau diese Spannung, Werk oder Dienst, geht im April 2027 in die zweite Runde.

Die juristische Theorie hinter dem Schuldspruch ist für Entwickler die eigentliche Nachricht. Nach US-Recht genügt für ein Geldtransfergeschäft, dass jemand Werte für andere bewegt; ob er die Gelder verwahrt oder nur weiterleitet, ist zweitrangig. Überträgt man diese Logik, dann schützt es einen Entwickler nicht, dass die Mittel nie auf seinem eigenen Konto lagen. Entscheidend ist, ob er den Fluss in Gang hielt. Für die zweite Runde im April 2027 bleibt offen, ob auch die schärferen Vorwürfe der Geldwäsche und des Sanktionsbruchs haften, die ungleich höhere Strafen tragen.

Alexey Pertsev: Europas eigener Fall

Für europäische Entwickler ist nicht Storm der wichtigste Fall, sondern Pertsev, denn er wurde auf EU-Boden entschieden. Ein niederländisches Gericht verurteilte den Tornado-Cash-Entwickler Alexey Pertsev im Mai 2024 zu 64 Monaten Haft, weil er zwischen Juli 2019 und August 2022 über den Mixer die Geldwäsche von rund 1,2 Milliarden US-Dollar ermöglicht habe. Pertsev legte Berufung beim Berufungsgericht in s-Hertogenbosch ein und wurde im Februar 2025 unter der Auflage elektronischer Überwachung aus der Haft entlassen, um seine Verteidigung vorzubereiten.

Die Berufung dreht sich um denselben Kern wie die US-Fälle: um Kontrolle. Pertsevs Verteidigung argumentiert, der dezentrale und unveränderliche Charakter von Tornado Cash müsse zur Aufhebung des Urteils führen, da er nach dem Deployment keine echte Verfügungsgewalt mehr über die Software gehabt habe. Zusätzlich verlangt die Verteidigung Einblick in die Analyse-Software von Chainalysis, mit der die Mittelflüsse zugeordnet wurden. Teile der Ethereum-Gemeinde unterstützen den Fall, weil hier auf europäischem Boden geklärt wird, ob das reine Bereitstellen von Protokollcode strafbar ist. Ein Urteil im Berufungsverfahren steht noch aus.

Der Fall ist auch deshalb lehrreich, weil er die Grenzen der Blockchain-Forensik berührt. Die Verteidigung greift an, wie zuverlässig Analyse-Software Transaktionen tatsächlich einer Person zuordnen kann, und trifft damit einen wunden Punkt: Diese Werkzeuge liefern Wahrscheinlichkeiten, keine mathematischen Beweise. Für deutsche Entwickler, die auf dasselbe EU-Rechtsumfeld blicken, ist Pertsev der realistischere Maßstab als jeder US-Fall, denn er zeigt, dass ein europäisches Gericht einen Mixer-Entwickler verurteilen kann und dass die Berufung nicht über abstrakte Dezentralität gewonnen wird, sondern über die konkrete Frage der Kontrolle.

Samourai Wallet: wie die Grenze gezogen wurde

Der klarste der vier Fälle endete ohne großen Streit über die Rechtsfrage, weil die Angeklagten einlenkten. Keonne Rodriguez und William Lonergan Hill, Geschäftsführer und technischer Kopf von Samourai Wallet, bekannten sich am 30. Juli 2025 vor Richterin Denise Cote schuldig, ein nicht lizenziertes Geldtransfergeschäft betrieben zu haben, über das mehr als 237 Millionen US-Dollar an kriminellen Erlösen liefen. Im November 2025 wurde Rodriguez zu fünf Jahren Haft und 250.000 US-Dollar Geldstrafe, Hill zu vier Jahren verurteilt.

Warum war dieser Fall so eindeutig? Weil die Staatsanwaltschaft nicht nur Code vorlegte, sondern Verhalten. Den Ermittlern zufolge bezeichnete Rodriguez den Dienst intern als Geldwäsche für Bitcoin, und die Coinjoin-Funktion Whirlpool wurde in Darknet-Foren damit beworben, Mittel unauffindbar zu machen. Das ist nicht mehr die Grauzone des Van-Loon-Falls, sondern der Vorsatz, den Galeotti meinte. Samourai zeigt, wo die Linie zwischen schützenswerter Software und strafbarem Betrieb am deutlichsten liegt: dort, wo Entwickler wissentlich kriminelle Erlöse durchleiten und genau damit werben.

Dass ausgerechnet Mixer zum Prüfstein wurden, ist kein Zufall. Sie sind der Punkt, an dem Privatsphäre-Technik und Geldwäsche-Verdacht am dichtesten beieinanderliegen, und sie zwingen Gerichte zur Grundsatzfrage dieses Textes. In den USA kommt hinzu, dass solche Dienste sich als Geldtransmitter beim Finanzministerium hätten registrieren und ein Geldwäscheprogramm führen müssen, was keiner der Angeklagten tat. Genau diese unterlassene Registrierung, nicht der Mixer-Code an sich, lieferte den Anklagepunkt, der am verlässlichsten zu einer Verurteilung führte.

Die vier Fälle im Überblick

Vier Verfahren, vier Ausgänge, ein gemeinsamer Maßstab. Die Tabelle fasst zusammen, worum es ging und was jeweils den Ausschlag gab.

Washington bremst, verfolgt aber weiter

Man könnte meinen, der politische Wind in den USA hätte diese Fälle längst gestoppt. Am 7. April 2025 ordnete der stellvertretende Justizminister Todd Blanche in einem vielzitierten Memo an, das National Cryptocurrency Enforcement Team aufzulösen und die Praxis zu beenden, Krypto-Plattformen für das Verhalten ihrer Nutzer zu belangen. Das Justizministerium werde sich auf jene konzentrieren, die Anleger schädigen oder Krypto für Terrorismus, Drogenhandel, organisierte Kriminalität oder Hacking einsetzen.

Das Memo beendete die Fälle jedoch nicht. Es enthielt eine Ausnahme, die laufende Verfahren wie Tornado Cash und Samourai ausdrücklich fortführbar hielt, und die traditionellen Ermittlungsstellen der US-Staatsanwaltschaften arbeiteten weiter. Dass die Durchsetzung gegen Vermittler nicht nachließ, zeigte zur selben Zeit der Fall OKX mit einem Vergleich über 504 Millionen US-Dollar. Storms Verteidiger Brian Klein las das Memo als Argument für eine Einstellung des Verfahrens gegen seinen Mandanten; eingestellt wurde es nicht. So entstand die Lage, die Entwickler so verunsichert: Die erklärte Politik lautet Schluss mit Regulierung durch Strafverfolgung, während dieselbe Behörde Entwickler weiter vor Gericht bringt und ins Gefängnis schickt. Eine Grundsatzentscheidung des Gesetzgebers, die Entwickler klar schützt, fehlt: Der CLARITY Act, der genau das versucht hätte, scheiterte im September 2026 im Senat.

Für Entwickler ist diese Hängepartie das eigentliche Problem. Eine klare gesetzliche Grenze, die sagt, ab wann ein Beitrag zu einem Protokoll die Schwelle zum strafbaren Betrieb überschreitet, gibt es weder in den USA noch in der EU. Stattdessen ergibt sich die Linie aus einzelnen Urteilen, aus Ermessensentscheidungen der Behörden und aus politischen Stimmungen, die sich mit jeder Wahl ändern können. Rechtssicherheit sieht anders aus, und sie ist der Grund, warum viele Teams ihre Oberflächen geoblocken, Unternehmenssitze verlegen oder Projekte gar nicht erst in der eigenen Jurisdiktion starten.

Die Begnadigungsfrage

Statt einer gesetzlichen Klärung deutet sich in den USA ein anderer Weg an: Gnade. Präsident Trump erwägt Berichten zufolge ein Paket von rund 250 Begnadigungen zum 250. Jahrestag der Vereinigten Staaten am 4. Juli 2026, und mehrere Krypto-Gründer werben um Aufnahme. Mehr als 65 Krypto-Organisationen forderten das Justizministerium in einem gemeinsamen Schreiben auf, die Anklage gegen Roman Storm fallen zu lassen, mit der Begründung, seine Arbeit an Tornado Cash sei die Veröffentlichung quelloffener Software und kein Finanzverbrechen. Zu einem möglichen Gnadenakt für einen Samourai-Entwickler sagte Trump, er werde sich das ansehen.

Dass Begnadigungen überhaupt im Raum stehen, hat Vorbilder: Trump begnadigte 2025 den Binance-Gründer Changpeng Zhao und zuvor den Silk-Road-Betreiber Ross Ulbricht. Für Entwickler ist das aber ein schwacher Trost. Eine Begnadigung ist ein Gnadenakt, kein Freispruch und erst recht keine Regel; sie kommt einzelnen zugute und ändert nichts an der Rechtslage für den nächsten Fall. Dieselbe transatlantische Kluft, Washington begnadigt, während Brüssel die Schrauben anzieht, haben wir im Kontext der Krypto-Geldwäsche ausführlich beschrieben. Wer in Deutschland Code schreibt, kann sich auf keinen Präsidenten verlassen.

Privatsphäre, Open Source und der Abschreckungseffekt

Unter all dem liegt ein Grundkonflikt, der sich nicht sauber auflösen lässt: finanzielle Privatsphäre gegen Nachvollziehbarkeit. Mixer wie Tornado Cash haben einen legitimen Kern, denn auf einer öffentlichen Blockchain ist jede Zahlung dauerhaft einsehbar, und nicht jeder, der seine Spur verwischen will, ist ein Krimineller. Entwicklerverbände wie die DeFi Education Fund und der Thinktank Coin Center argumentieren, dass das Veröffentlichen von Code eine geschützte Ausdrucksform sei und dass Strafverfahren gegen Autoren von Software einen Abschreckungseffekt erzeugen, der weit über den Einzelfall hinausreicht.

Peter Van Valkenburgh von Coin Center hält dem bestehenden Geldwäscheregime zudem entgegen, es richte bemerkenswert wenig gegen illegale Finanzströme aus, während es legitime Nutzer belaste. Dagegen steht die nüchterne Bilanz der Fälle Samourai und Pertsev, in denen nicht die Privatsphäre bestraft wurde, sondern der nachweisbare, wissentliche Umgang mit kriminellen Erlösen. Für deutsche Entwickler ist die Lehre doppelt: Finanzielle Privatsphäre zu ermöglichen ist kein Verbrechen, einen Dienst zu betreiben, der erkennbar der Geldwäsche dient, hingegen schon. Die Grenze verläuft, wieder einmal, entlang von Kontrolle und Vorsatz.

Was das deutsche Strafrecht sagt: § 261 StGB

Womit wir beim deutschen Recht sind. Der zentrale Straftatbestand ist § 261 StGB, die Geldwäsche. Seit der Reform, die am 18. März 2021 in Kraft trat, gilt der sogenannte All-Crimes-Ansatz: Der frühere Katalog bestimmter Vortaten wurde gestrichen, sodass grundsätzlich jede Straftat als Vortat einer Geldwäsche in Betracht kommt. Damit ist der Tatbestand deutlich weiter als früher, und er erfasst auch den, der leichtfertig nicht erkennt, dass er es mit kriminellen Erlösen zu tun hat.

Heißt das, ein deutscher DeFi-Entwickler macht sich automatisch strafbar? Nein. § 261 StGB verlangt einen Bezug zu Erlösen aus einer konkreten Vortat und wenigstens Leichtfertigkeit. Das bloße Veröffentlichen eines Smart Contracts erfüllt das nicht. Riskant wird es dort, wo ein Entwickler einen Dienst betreibt, über den erkennbar kriminelle Gelder laufen, und das billigend in Kauf nimmt, also genau in der Samourai-Konstellation. Hinzu kommt: Betreibt jemand faktisch einen Mixer oder eine Tauschfunktion gewerbsmäßig, rückt neben der Geldwäsche die Frage der fehlenden Erlaubnis in den Vordergrund, und die ist in Deutschland ein eigenes Kapitel.

Der Tatbestand erfasst dabei nicht nur das klassische Waschen, sondern auch das Verbergen und Verschleiern der Herkunft inkriminierter Vermögenswerte sowie das Vereiteln ihrer Einziehung. Ein Dienst, dessen erklärter Zweck es ist, die Nachverfolgung zu durchbrechen, bewegt sich damit im Kernbereich der Norm, sobald konkrete kriminelle Erlöse hindurchlaufen. Deutsche Staatsanwaltschaften hätten also, anders als oft angenommen, durchaus Werkzeuge, um einen hier ansässigen Betreiber eines Misch- oder Tauschdienstes zu verfolgen, ohne auf neues Recht warten zu müssen. Ob sie es tun, ist bislang eine Frage der Priorisierung, nicht der fehlenden Grundlage.

Die Lizenzfrage: KMAG, MiCAR und die BaFin

Das deutsche Gegenstück zum US-Vorwurf des nicht lizenzierten Geldtransfergeschäfts ist die Erlaubnispflicht. Mit dem Finanzmarktdigitalisierungsgesetz, das der Bundestag am 18. Dezember 2024 verabschiedete, trat das Kryptomärkteaufsichtsgesetz (KMAG) in Kraft, das die europäische Verordnung MiCAR in Deutschland durchführt. MiCAR gilt seit dem 30. Dezember 2024 vollständig. Seit dem 1. Juli 2026 ist das Erbringen von Kryptowerte-Dienstleistungen ohne MiCAR-Erlaubnis verboten, und die BaFin kann gegen unerlaubt tätige Anbieter bis zur Abwicklung vorgehen.

Entscheidend für Entwickler ist, dass MiCAR und das KMAG Dienstleister und Emittenten regeln, nicht das Protokoll selbst. Die BaFin stellt in ihrem Merkblatt zu Kryptowerte-Dienstleistungen klar, dass der erlaubnispflichtige Anknüpfungspunkt die Dienstleistung ist, etwa Verwahrung, Tausch oder der Betrieb einer Handelsplattform. Ein wirklich dezentrales, von niemandem betriebenes Protokoll fällt zunächst nicht darunter. Sobald aber ein identifizierbarer Betreiber die Oberfläche, den Zugang oder die Abwicklung in der Hand hat, wird genau er erlaubnispflichtig, derselbe Kontrollgedanke wie bei der FATF. Warum dezentrale Finanz grundsätzlich außerhalb des MiCAR-Perimeters bleibt und wo die EU trotzdem ansetzt, haben wir gesondert analysiert.

Praktisch heißt das: Wer in Deutschland eine Tauschfunktion, eine Verwahrlösung oder eine Handelsoberfläche betreibt und dabei als identifizierbarer Anbieter auftritt, braucht seit dem Ende der Übergangsfrist am 1. Juli 2026 eine MiCAR-Erlaubnis. Fehlt sie, ist das kein Kavaliersdelikt, sondern kann als unerlaubtes Geschäft verfolgt und von der BaFin untersagt werden. Der Entwickler, der nur einen Smart Contract veröffentlicht und danach jede Steuerung abgibt, bleibt außen vor; wer die Oberfläche hostet und Gebühren nimmt, ist mittendrin. Die Grenze ist dieselbe wie im Strafrecht, nur mit der BaFin statt der Staatsanwaltschaft als Gegenüber.

AMLR: wann der Entwickler zum Verpflichteten wird

Die dritte Front ist das Geldwäscherecht auf EU-Ebene. Ab dem 10. Juli 2027 gilt die EU-Geldwäscheverordnung (AMLR, Verordnung 2024/1624) unmittelbar in allen Mitgliedstaaten und ersetzt große Teile des deutschen Geldwäschegesetzes. Für DeFi ist eine Formulierung zentral: Die AMLR erfasst zentral kontrollierte DeFi-Plattformen als Verpflichtete. Die Europäische Bankenaufsichtsbehörde (EBA) hat bereits im April 2025 Leitlinien zur Anwendung auf DeFi vorgelegt, und die neue Geldwäschebehörde AMLA in Frankfurt nimmt die direkte Aufsicht über die risikoreichsten Verpflichteten ab 2028 auf.

Auch hier entscheidet nicht das Etikett, sondern die Kontrolle. Ein genuin dezentrales Protokoll ohne identifizierbaren Betreiber ist kein Verpflichteter; eine Plattform mit zentraler Steuerung schon. Parallel verschwinden anonyme Krypto-Konten und Anonymitätsmünzen wie Monero oder Zcash von regulierten EU-Handelsplätzen. Für Entwickler heißt das: Je mehr Kontrolle sie behalten, desto eher werden sie zum Verpflichteten mit vollen Sorgfaltspflichten, und desto näher rücken sie an die Rolle, die Storm und die Samourai-Gründer vor Gericht brachte.

Was zentral kontrolliert konkret bedeutet, füllt die EBA mit denselben Merkmalen, die auch die FATF nennt: Verfügungsgewalt über Schlüssel und Upgrades, konzentrierte Governance, Einnahmen aus dem Betrieb, Kontrolle über die Nutzeroberfläche. Hinzu kommt die Behandlung selbst gehosteter Wallets: Transfers von und zu unregulierten Adressen über 1.000 Euro lösen verschärfte Prüfpflichten aus. Für ein Protokoll, das bewusst ohne Betreiber auskommt, läuft die Pflicht ins Leere, weil es niemanden gibt, der sie erfüllen könnte. Für jedes Projekt mit einem Team, einer Kasse und einer Roadmap wird die Verpflichteten-Rolle dagegen zur realistischen Option.

Die drei deutschen und europäischen Rechtsfronten lassen sich so zusammenfassen:

Was DeFi-Entwickler in Deutschland jetzt beachten sollten

Aus den Fällen und dem Regelwerk lässt sich eine klare Linie ableiten, auch wenn sie keine Rechtsberatung im Einzelfall ersetzt. Wer als reiner Entwickler gelten will, sollte Kontrolle abgeben, nicht ansammeln.

• Admin-Schlüssel, Upgrade-Rechte und Notschalter sind Kontrollindikatoren. Wer sie hält, steht näher am Betreiber als am Autor.
• Eine selbst betriebene Weboberfläche, ein Relayer oder ein Gebührenschalter verwandeln Code in einen Dienst. Genau daran scheiterten Storm und Samourai.
• Gewinne aus Gebühren oder Treasury lenken den Verdacht auf Kontrolle und Vorsatz. Die Richtung der Geldströme ist ein zentraler FATF-Indikator.
• Ein DAO ist kein Schutzschild. Die US-Derivateaufsicht CFTC erwirkte gegen die Ooki DAO ein Versäumnisurteil über 643.542 US-Dollar und behandelte abstimmende Token-Inhaber als Mitglieder.
• Dokumentierte Dezentralisierung hilft. Eine nachweisbare, unwiderrufliche Aufgabe der Kontrolle, wie bei der trusted setup ceremony von Tornado Cash, war der Kern des Van-Loon-Erfolgs.

Die Botschaft ist unbequem, aber konsistent: Nicht der Grad der Dezentralität auf dem Papier schützt, sondern die tatsächliche Abwesenheit von Kontrolle und Vorsatz. Solange der CLARITY Act in den USA fehlt und die AMLR in Europa erst 2027 greift, bleibt die Rechtslage uneinheitlich, und die vier Fälle dieses Jahres sind die beste verfügbare Landkarte. Wer in Deutschland DeFi baut, sollte sie kennen, bevor er die erste Oberfläche online stellt.

Für Deutschland kommt eine Besonderheit hinzu: Anders als in den USA, wo eine Begnadigung am Ende doch noch einen Ausweg öffnen kann, gibt es diesen politischen Notausgang hier nicht. Greift § 261 StGB oder die Erlaubnispflicht, entscheidet ein Gericht, kein Präsident. Umso mehr zählt, dass Entwickler die Rollen früh trennen: Wer forscht und veröffentlicht, sollte das sichtbar von jedem Betrieb lösen, und wer betreibt, sollte Erlaubnis und Geldwäscheprogramm von Anfang an mitdenken. Die vier Fälle dieses Jahres sind teuer bezahlte Lehrstunden darüber, wo die Grenze liegt.

Häufige Fragen

Macht sich ein DeFi-Entwickler in Deutschland strafbar, wenn er nur Code veröffentlicht?

Das bloße Schreiben und Veröffentlichen von quelloffenem Code ist für sich genommen keine Straftat. Strafbar wird es, wenn ein Entwickler darüber hinaus einen Dienst betreibt, also etwa eine Oberfläche, einen Relayer oder eine Gebührenstruktur unterhält, und dabei wenigstens leichtfertig kriminelle Erlöse durchleitet. Entscheidend sind der Grad an Kontrolle und der Vorsatz, nicht der Code selbst.

Was war das Urteil im Fall Tornado Cash gegen Roman Storm?

Roman Storm wurde im August 2025 wegen Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts schuldig gesprochen. Bei den Vorwürfen der Geldwäsche und des Sanktionsbruchs konnte sich die Jury nicht einigen; für diese beiden Punkte ist eine Neuverhandlung auf den 26. April 2027 angesetzt, mit bis zu 20 Jahren Haft je Punkt.

Warum wurde Alexey Pertsev in den Niederlanden verurteilt?

Ein niederländisches Gericht verurteilte Pertsev im Mai 2024 zu 64 Monaten Haft, weil er über Tornado Cash die Geldwäsche von rund 1,2 Milliarden US-Dollar ermöglicht habe. Er legte Berufung ein und wurde im Februar 2025 unter elektronischer Überwachung entlassen. Die Berufung dreht sich um die Frage, ob er nach dem Deployment noch Kontrolle über das Protokoll hatte.

Ab wann brauchen Krypto-Dienste in Deutschland eine BaFin-Erlaubnis?

Seit dem 1. Juli 2026 ist das Erbringen von Kryptowerte-Dienstleistungen ohne MiCAR-Erlaubnis in Deutschland verboten. Zuständig ist die BaFin auf Grundlage des Kryptomärkteaufsichtsgesetzes. Erfasst sind Dienstleistungen wie Verwahrung, Tausch oder der Betrieb einer Handelsplattform, nicht ein wirklich dezentrales, von niemandem betriebenes Protokoll.

Gilt ein DeFi-Protokoll ab 2027 als Verpflichteter unter der EU-Geldwäscheverordnung?

Ab dem 10. Juli 2027 erfasst die AMLR zentral kontrollierte DeFi-Plattformen als Verpflichtete mit vollen Sorgfaltspflichten. Ein genuin dezentrales Protokoll ohne identifizierbaren Betreiber fällt nicht darunter. Maßgeblich ist, ob eine Person oder ein Unternehmen die Plattform tatsächlich steuert, nicht das Etikett dezentral.

Von Anneke de Vries, Redaktion Regulierung, HOGE Wire.