Scam-Compounds und Krypto: die neue Geldwäsche-Front 2026

Am 5. November 2026 veröffentlichte die Financial Action Task Force (FATF) einen Bericht, der dem Geld hinter den sogenannten Scam-Compounds folgt, den industriellen Betrugsfabriken Südostasiens. Er trägt den Titel Combating End-to-End Illicit Financial Flows Linked to Scam Compounds und benennt eine unbequeme Wahrheit: Das schmutzige Geld, das durch Krypto-Plattformen fließt, stammt immer seltener aus klassischer Geldwäsche und immer häufiger aus Betrug. Der Report ist das erste greifbare Ergebnis der Betrugs-Agenda, die die FATF unter ihrer neuen britischen Präsidentschaft ausgerufen hat.

Wenige Tage zuvor, am 30. Oktober, hatte das FATF-Plenum in Paris zum ersten Mal unter dem Briten Giles Thomson getagt. Das Ergebnis liest sich wie eine Kursänderung: ein beschleunigtes Prüfverfahren für Länder mit relevantem Krypto-Geschäft, vier Streichungen von der grauen Liste (Bulgarien, Elfenbeinküste, DR Kongo und Monaco) und, als Herzstück, die Erhebung von Betrug und Scam-Compounds zur globalen Priorität. Thomson warnte laut AML Intelligence, das Schlimmste stehe noch bevor: Digitalisierung, KI und besser vernetzte Zahlungssysteme würden das Betrugsproblem weiter anheizen. Fraud, so die FATF, sei inzwischen in rund 90 Prozent aller Länderprüfungen die dominierende Vortat.

Für Krypto ist das keine Randnotiz. Bitcoin notierte am Tag der Veröffentlichung bei rund 67.500 Euro, ein Minus von fast sechs Prozent binnen eines Tages, die Marktkapitalisierung bei etwa 1,36 Billionen Euro. Doch die eigentliche Nachricht steht nicht in der Kurstabelle. Sie steht in der Verschiebung dessen, was Geldwäsche-Abwehr überhaupt jagen soll. Jahrelang lautete die Logik: Fang den Wäscher an der Börse. Die neue Logik lautet: Stopp den Betrug, der die Maschine überhaupt erst füttert. Dieser Text erklärt, was das für die Werkzeuge KYC und AML bedeutet, warum Stablecoins zur bevorzugten Schiene geworden sind und was deutsche Nutzer, Plattformen und die BaFin daraus mitnehmen müssen.

KYC, AML und wer in Deutschland zuständig ist

Die beiden Kürzel werden oft in einem Atemzug genannt, meinen aber Verschiedenes. AML (Anti-Money-Laundering) ist der Oberbegriff: das gesamte Regelwerk gegen Geldwäsche und Terrorismusfinanzierung, in Deutschland verankert im Geldwäschegesetz (GwG). KYC (Know Your Customer) ist nur ein Baustein davon, nämlich die Identitätsprüfung beim Onboarding plus die laufende Sorgfalt gegenüber dem Kunden. Vereinfacht: KYC beantwortet die Frage „Wer bist du?“, AML die Frage „Woher kommt dein Geld und wohin geht es?“.

In Deutschland verteilt sich die Zuständigkeit auf mehrere Schultern. Die BaFin trägt einen Doppelhut: Sie lizenziert Krypto-Dienstleister (CASPs) nach dem europäischen Rahmen und beaufsichtigt zugleich deren GwG-Pflichten. Verdachtsmeldungen laufen nicht zur BaFin, sondern zur Financial Intelligence Unit (FIU), die bei der Generalzolldirektion, also beim Zoll, angesiedelt ist. Die eigentliche Strafverfolgung übernehmen Staatsanwaltschaften, das Bundeskriminalamt (BKA) und die Landeskriminalämter. Wichtig ist, was NICHT zuständig ist: Die Marktaufsicht über Wertpapiere ist hier nebensächlich. Das ist die deutsche Variante eines Missverständnisses, das in den USA noch deutlicher ist, wo nicht die Börsenaufsicht SEC, sondern FinCEN und das Sanktionsbüro OFAC das Geldwäscherecht durchsetzen. Die BaFin selbst stellt klar, dass sie Dienstleister und Emittenten reguliert, nicht das Protokoll dahinter.

Fünf Säulen tragen ein funktionierendes AML-Programm: ein benannter Geldwäschebeauftragter, interne Sicherungsmaßnahmen, Schulung, unabhängige Prüfung und eine risikobasierte Sorgfalt gegenüber Kunden und wirtschaftlich Berechtigten. Geldwäsche läuft dabei klassisch in drei Phasen ab: Platzierung (das Geld kommt ins System), Verschleierung (es wird durch viele Transaktionen gewaschen) und Integration (es kehrt scheinbar sauber zurück). Krypto ist vor allem in der Verschleierungsphase stark, weil sich Werte in Sekunden über Ketten, Mixer und Hunderte Wallets verteilen lassen. Genau hier setzt die alte Abwehrlogik an. Und genau hier zeigt der neue FATF-Fokus, warum sie zu kurz greift.

Was sich bei der FATF gerade verschoben hat

Die FATF ist kein Gericht und keine Behörde mit Durchgriffsrecht. Sie schreibt Standards, bewertet Länder und führt zwei Listen: die graue Liste (verstärkte Beobachtung) und die schwarze Liste (Aufruf zum Handeln, derzeit Nordkorea, Iran und Myanmar). Ihre Macht wirkt über Märkte, nicht über Paragrafen: Wer auf die graue Liste rutscht, erlebt Kapitalflucht und De-Risking. Lange drehte sich die Krypto-Agenda der FATF um die Travel Rule und um die Frage, welche Plattformen als Virtual Asset Service Provider gelten. Das Oktober-Plenum 2026 hat den Schwerpunkt verschoben.

Drei Beschlüsse stechen heraus. Erstens: Für Länder mit wesentlichem Krypto-Volumen startet die FATF ein beschleunigtes Prüf- und Nachverfolgungsverfahren, dessen Ergebnisse im Juni und Oktober 2027 veröffentlicht werden sollen. Es geht nicht mehr darum, ob Regeln existieren, sondern ob sie durchgesetzt werden. Zweitens: Der Scam-Compound-Bericht macht Betrug zur eigenständigen Priorität, nicht länger nur zum Nebenprodukt der Geldwäsche. Drittens wurden vier Länder von der grauen Liste gestrichen, was den Blick frei macht für die eigentliche Baustelle. Die Betrugs-Agenda ist dabei kein Zufall. Schon bei Amtsantritt im Juli 2026 hatte Thomson Fraud zum Leitthema erklärt, mit einem geschätzten Schadensvolumen von rund 500 Milliarden Dollar pro Jahr, wie AML Intelligence berichtete. Der neue Bericht ist der erste Baustein dieser Roadmap.

Was ein Scam-Compound ist

Um die Verschiebung zu verstehen, muss man wissen, worüber die FATF eigentlich spricht. Ein Scam-Compound ist keine Metapher, sondern ein realer Ort: ein abgeriegeltes Gebäude oder ein ganzer Komplex, oft eine umfunktionierte Casino- oder Hotelanlage, in dem Menschen in Schichten Betrug am Fließband betreiben. Viele von ihnen sind selbst Opfer, mit gefälschten Stellenanzeigen angelockt, dann eingesperrt und unter Androhung von Gewalt zum Scammen gezwungen. Die FATF dokumentiert Compounds auf mehreren Kontinenten, der Schwerpunkt liegt aber in Südostasien. Allein in Myanmar sollen laut Bericht etwa 120.000 Menschen zu Online-Betrug gezwungen werden, und Angehörige von mehr als 80 Nationen wurden in solchen Anlagen identifiziert.

Die bevorzugte Masche heißt im Jargon „Pig Butchering“, wörtlich Schweineschlachten: Ein Täter baut über Wochen eine Online-Beziehung auf, romantisch oder freundschaftlich, mästet das Vertrauen des Opfers und schlachtet es dann finanziell, indem er es zu immer größeren Krypto-Einzahlungen auf eine gefälschte Handelsplattform drängt. Das Büro der Vereinten Nationen für Drogen- und Verbrechensbekämpfung (UNODC) bezifferte in seiner Bedrohungsanalyse für Südostasien 2026 das Volumen des Online-Betrugs in der Region auf 88,3 bis 114,1 Milliarden Dollar allein für das Jahr 2025. Die Region sei das globale Epizentrum. Die Täternetze, so das UNODC, arbeiteten zunehmend als Dienstleister füreinander: Spezialisten für Betrug, Geldwäsche, Datendiebstahl und Menschenhandel teilen sich dieselbe Infrastruktur. Krypto ist der Klebstoff, der diese Dienste verbindet.

Der Titel des FATF-Berichts spricht bewusst von einem End-to-End-Finanzfluss. Gemeint ist eine Kette, die mit der Masche beginnt und erst viele Schritte später in scheinbar sauberem Geld endet: Das Opfer zahlt auf eine gefälschte Plattform ein, die Gelder werden in Sammel-Wallets gebündelt, über Mixer und Ketten-Brücken verteilt, in Stablecoins getauscht und schließlich über Over-the-Counter-Händler oder No-KYC-Dienste ausgezahlt. An jedem Glied verdient ein spezialisierter Dienstleister mit. Besonders zynisch ist, dass viele der Menschen, die in den Compounds die Wallets bedienen und das Geld weiterleiten, selbst Opfer von Menschenhandel sind. Dieselben Netze bündeln Betrug, Zwangsarbeit und Wäsche auf einer gemeinsamen Infrastruktur. Wer hier eine Wallet markiert, markiert unter Umständen auch ein Opfer.

Genau das macht den Fall für die Geldwäsche-Abwehr so schwierig. Die klassische Vortat, über die AML-Systeme geschult sind, war Drogenhandel oder Korruption. Betrug im Industriemaßstab verhält sich anders: Das Geld kommt freiwillig vom Opfer, es passiert oft eine völlig legale, KYC-geprüfte Börse, und erst danach beginnt die Verschleierung. Der Täter steht nicht am Schalter. Das Opfer steht am Schalter und drückt selbst auf „Senden“.

Warum Stablecoins die Schiene sind

Der FATF-Bericht benennt das Transportmittel klar: Virtuelle Werte, insbesondere Stablecoins, seien ein wesentlicher Kanal für die Wäsche der Erlöse aus Scam-Compounds. Ein in Kambodscha ansässiges Netzwerk habe zwischen 2021 und 2025 mindestens vier Milliarden Dollar über Stablecoins gewaschen, und allein zu den Wallets eines einzigen Compounds ließen sich mehr als 100 Millionen Dollar an Opfergeldern zurückverfolgen. Das kambodschanische Netzwerk ist kein Unbekannter: Es ist die Huione-Gruppe, gegen die das US-Finanzministerium im Herbst 2025 unter dem PATRIOT Act zur Trennung vom US-Finanzsystem griff. Finanzminister Scott Bessent nannte Huione damals den Marktplatz der Wahl für Cyberkriminelle.

Die Zahlen von Chainalysis untermauern das Muster. Illegale Krypto-Adressen erhielten 2025 mindestens 154 Milliarden Dollar, ein Plus von 162 Prozent, auch wenn das weiterhin unter einem Prozent des gesamten On-Chain-Volumens bleibt. Entscheidend ist die Zusammensetzung: Stablecoins machten laut Chainalysis rund 84 Prozent des illegalen Transaktionswerts aus. Für Betrug speziell ist der Trend noch klarer. In der Analyse zu Krypto und Menschenhandel stieg der Anteil der Stablecoins an den Zuflüssen in Betrugsmaschen von etwa 70 Prozent (2024) auf rund 84 Prozent (2025). Die Erlöse aus Pig Butchering wuchsen um fast 40 Prozent im Jahresvergleich, die gesamten Krypto-Betrugsverluste schätzt Chainalysis auf rund 17 Milliarden Dollar für 2025. Und die durchschnittliche Betrugszahlung sprang von 782 Dollar (2024) auf 2.764 Dollar (2025), ein Anstieg um 253 Prozent.

Warum Stablecoins? Sie sind wertstabil, hochliquid und bewegen sich Wallet-zu-Wallet, oft ganz ohne eine Börse in der Mitte. Genau das bricht das alte VASP-Modell, das einen Mittelsmann voraussetzt, an dem KYC greifen könnte. Dass die EU mit Euro-Stablecoins und einem eigenen Regelrahmen gegensteuert, ändert wenig daran, dass die illegalen Ströme fast ausschließlich in Dollar-Token laufen, allen voran USDT. Die folgende Tabelle bündelt die wichtigsten Kennzahlen hinter der neuen Betrugs-Front.

Der Fall eXch: die deutsche Front

Dass diese globale Schiene bis nach Deutschland reicht, zeigt kein Fall besser als eXch. Am 30. April 2025 schaltete das BKA gemeinsam mit der Generalstaatsanwaltschaft Frankfurt am Main (Zentralstelle zur Bekämpfung der Internetkriminalität) den Krypto-Tauschdienst eXch ab und beschlagnahmte dessen Serverinfrastruktur. Seit dem Start 2014 sollen laut den Ermittlern Kryptowerte von rund 1,9 Milliarden Dollar durch die Plattform geflossen sein. Sichergestellt wurden mehr als acht Terabyte Daten und Krypto im Wert von etwa 38 Millionen Dollar, umgerechnet rund 34 Millionen Euro, die drittgrößte Beschlagnahme digitaler Vermögenswerte in der Geschichte des BKA.

Das Entscheidende an eXch war nicht seine Größe, sondern sein Geschäftsmodell. Der Dienst warb in einschlägigen Foren offen damit, KEINE Geldwäsche-Kontrollen zu betreiben: kein KYC, keine Aufbewahrung von Daten, kein Abgleich mit Sanktionslisten. Er war damit das exakte Gegenstück zu einer regulierten Börse, eine Schleuse, durch die schmutzige Coins sauber wieder herauskommen sollten. Teile der 1,5 Milliarden Dollar, die beim Hack der Börse Bybit am 21. Februar 2025 erbeutet und der nordkoreanischen Lazarus-Gruppe zugeschrieben wurden, sollen über eXch gewaschen worden sein. Die Betreiber stehen im Verdacht der gewerbsmäßigen Geldwäsche und des Betreibens einer kriminellen Handelsplattform.

eXch verbindet die beiden Enden der neuen Front: den Diebstahl und Betrug am einen Ende, die zwingende Durchleitung durch einen No-KYC-Dienst am anderen. Für die deutsche Abwehr ist das eine Lehre mit zwei Seiten. Die gute: Blockchain-Analyse und internationale Kooperation führten zum Zugriff. Die unbequeme: Der Dienst lief elf Jahre lang, bevor er abgeschaltet wurde, und für jeden abgeschalteten eXch entstehen anderswo neue Klone.

Anlagebetrug, hergestellt in Deutschland

Die Opfer der Scam-Compounds sitzen nicht nur in Asien. Sie sitzen auch in Dortmund, Graz oder Zürich. Das Bundeslagebild Cybercrime 2025, das das BKA im Mai 2026 vorlegte, zählt 333.922 erfasste Fälle, von denen 207.888 aus dem Ausland oder von unbekannten Tatorten stammen. Die Aufklärungsquote bei diesen Auslandstaten liegt bei mageren zwei Prozent. Hinter dem Anstieg stehen vor allem Anlage- und Finanzierungsdelikte, allen voran Anlagebetrug über Messengerdienste, bei dem die Opfergelder über Kryptokonten oder Überweisungen auf Auslandskonten laufen, um den Geldfluss zu verschleiern. Das ist exakt das Pig-Butchering-Drehbuch, nur mit deutschem Postleitzahlengebiet.

Die konkreten Ermittlungserfolge zeigen dieselbe Signatur. Neben eXch sicherten die Behörden beim Bitcoin-Mixer cryptomixer.io Kryptowerte von rund 25 Millionen Euro. Beide Dienste sind Teil derselben Wäsche-Infrastruktur, die der UNODC-Bericht als geteiltes Dienstleistungsnetz beschreibt. Der Digitalverband Bitkom beziffert den gesamtwirtschaftlichen Schaden durch Cyberangriffe auf die deutsche Wirtschaft für 2025 auf rund 202 Milliarden Euro, wobei dieser Wert weit mehr als nur Krypto-Betrug umfasst und als Verbandsschätzung einzuordnen ist. Die Botschaft bleibt dieselbe: Der Betrug ist keine exotische Randerscheinung, sondern Massengeschäft, und das Opfer finanziert ihn selbst.

Für die KYC/AML-Debatte ist dieser Befund unbequem. Eine deutsche Rentnerin, die ihr Erspartes auf eine gefälschte Trading-App überweist, hat sich bei ihrer Hausbank und bei der Krypto-Börse ordnungsgemäß ausgewiesen. Jedes KYC-Häkchen ist gesetzt. Die Identitätsprüfung hat funktioniert, und der Betrug ist trotzdem gelungen. Das ist kein Versagen eines einzelnen Anbieters, sondern eine strukturelle Grenze des Werkzeugs.

Warum KYC den Betrug nicht fängt

Hier liegt der Kern der Verschiebung. KYC prüft Identität, nicht Absicht. Das Verfahren kann mit hoher Sicherheit feststellen, dass eine Person die ist, die sie zu sein vorgibt. Es kann nicht feststellen, ob diese Person gerade im Begriff ist, betrogen zu werden, oder ob sie das Geld eines anderen bewegt. Im Betrugsszenario versagt das Werkzeug auf beiden Seiten: Der Täter nutzt Strohleute, gekaufte oder mit KI gefälschte Ausweise und Deepfake-Videos, um selbst durch die Prüfung zu kommen; das Opfer durchläuft die Prüfung ganz ehrlich und überweist dann freiwillig. Fachleute nennen das autorisierten Push-Payment-Betrug: Die Zahlung ist vom rechtmäßigen Kontoinhaber autorisiert, nur eben unter Täuschung.

Die alte AML-Welt war darauf gebaut, verdächtige Dritte zu erkennen, die fremdes Geld schleusen. Die neue Welt muss erkennen, dass ein völlig unverdächtiger Stammkunde gerade sein Leben spart an einen Betrüger verliert. Das ist eine andere Signatur: viele kleine, schnell wachsende Zahlungen an eine neue Gegenstelle, oft gefolgt von sofortiger Umwandlung in Stablecoins und Weiterleitung über Mixer. Plattformen werden damit vom reinen Identitätsprüfer zum Verhaltensbeobachter, der im Zweifel seine eigenen Kunden vor sich selbst schützen muss. Die folgende Tabelle stellt die beiden Logiken gegenüber.

Die deutsche Meldelawine

Wenn das Werkzeug stumpf ist, hilft es wenig, mehr davon zu benutzen. Genau das aber geschieht. Der Jahresbericht der FIU für 2025 verzeichnet 374.693 Verdachtsmeldungen, ein Plus von 41 Prozent gegenüber dem Vorjahr, davon 319.857 allein von Kreditinstituten. Dem steht ein ernüchternder Ertrag gegenüber: Nach Auswertung durch die Bundesrechtsanwaltskammer mündeten nur 1.669 Meldungen in ein Urteil, einen Strafbefehl oder eine Anklage, während rund 96 Prozent eingestellt wurden. Das ist eine Trefferquote von weit unter einem Prozent. Immerhin verhängte die FIU 106 Sofortmaßnahmen und fror damit rund 751,8 Millionen Euro vorläufig ein.

Seit dem 1. März 2026 verlangt die FIU in Krypto-Verdachtsmeldungen die Angabe der Blockchain-Transaktions-ID im goAML-System, ein kleiner, aber sinnvoller Schritt, der Meldungen überhaupt erst nachverfolgbar macht. Doch das Grundproblem bleibt: Ein Großteil der Meldungen entsteht defensiv, aus Angst vor Haftung, nicht aus belastbarem Verdacht. Die Folge ist eine Flut von Fehlalarmen, in der die wirklich relevanten Fälle untergehen. Für die Betrugs-Front ist das doppelt fatal, denn Opfergeld-Zahlungen sehen in den Augen eines klassischen Filters harmlos aus. Sie stammen von einem geprüften Kunden und gehen an eine scheinbar normale Wallet. Mehr Meldungen desselben Typs machen das Signal nicht schärfer, sie machen das Rauschen lauter.

Was die BaFin 2026 prüft

Die Aufsicht hat den Kurswechsel bereits eingepreist. In ihrem Papier Risiken im Fokus 2026 kündigte die BaFin mehr als 75 Sonderprüfungen an, und zwei der angekündigten Schwerpunkte treffen den Betrugs-Nerv unmittelbar: die Umsetzung der Travel Rule durch Krypto-Dienstleister und die Kundenrisiko-Klassifizierung. Letzteres ist kein Zufall. Wer Opfer-Zahlungen erkennen will, muss Kunden und ihr Verhalten feiner einstufen, als es ein einmaliger Ausweis-Check leistet. Die Prüfung verlagert sich damit vom Onboarding hin zur laufenden Überwachung, genau dorthin, wo die Betrugs-Front liegt.

Der größere Zusammenhang ist ein Wechsel von der Regelsetzung zur Durchsetzung. Wie unsere Analyse der deutschen Geldwäscheaufsicht ausführt, bewegt sich die BaFin von der Phase, in der Regeln geschrieben wurden, in die Phase, in der sie vor Ort geprüft werden, und das, bevor die neue EU-Behörde AMLA 2028 die zentrale Aufsicht übernimmt. Verstöße eskalieren dabei stufenweise, vom aufsichtlichen Dialog über Anordnungen bis, im Extremfall, zum Entzug der Erlaubnis. Für CASPs bedeutet das: Ein sauberes KYC-Protokoll reicht künftig nicht mehr, wenn die laufende Transaktionsüberwachung Betrugsmuster nicht erkennt.

Das EU-Regelwerk: TFR, AMLR und die AMLA in Frankfurt

Über der nationalen Ebene liegt ein europäischer Dreiklang, der in den nächsten beiden Jahren scharf gestellt wird. Die Geldtransfer-Verordnung (Transfer of Funds Regulation, VO 2023/1113) gilt seit dem 30. Dezember 2024 und setzt die Travel Rule für Krypto ohne jede Bagatellgrenze um: Jede Überweisung muss Absender- und Empfängerdaten mitführen, und bei Transfers von oder zu selbst verwahrten Wallets über 1.000 Euro greifen zusätzliche Prüfungen. Die Geldwäsche-Verordnung (VO 2024/1624) kommt am 10. Juli 2027 zur vollen Anwendung; sie verbietet anonyme Krypto-Konten sowie Anonymisierungsdienste und Privacy-Coins und deckelt Bargeldzahlungen bei 10.000 Euro.

Die institutionelle Neuerung sitzt auf deutschem Boden: Die Anti-Money Laundering Authority (AMLA) residiert in Frankfurt am Main, geleitet von der Italienerin Bruna Szego. Ab 2028 wird sie bis zu 40 Institute mit dem höchsten Risiko direkt beaufsichtigen, die erste Auswahl steht 2027 an, und Krypto gilt ihr ausdrücklich als vorrangiges Risikofeld. Wichtig für die Einordnung: MiCA, der europäische Rahmen für Krypto-Dienstleister, ist KEIN Geldwäscherecht. MiCA regelt Marktzugang und Wohlverhalten, die AML-Pflichten stehen separat in TFR und AMLR. Eine MiCA-Lizenz ist also kein Geldwäsche-Gütesiegel, ein Punkt, den die deutschen Behörden nach dem Ende der MiCA-Übergangsfrist am 1. Juli 2026 immer wieder betonen.

Umstritten bleibt, wie weit die neuen Verbote reichen. Das Verbot anonymer Konten und von Privacy-Coins zielt auf regulierte Dienstleister, nicht auf die Technologie an sich. Patrick Hansen, Europa-Politikchef von Circle, betonte wiederholt, dass die AMLR weder selbstverwahrte Wallets noch reine Peer-to-Peer-Transfers verbiete; das Parlament habe eine ursprünglich geplante Obergrenze für Zahlungen an selbst verwahrte Wallets wieder gestrichen. Für die Betrugs-Front ist das zweischneidig. Einerseits schließt die AMLR die anonymen Schlupflöcher, über die Opfergeld heute abfließt. Andererseits verlagert sich ein Teil der Ströme genau dorthin, wo kein Dienstleister mehr sitzt, an dem eine Regel greifen könnte. Das Katz-und-Maus-Spiel endet nicht mit einer Verordnung. Die folgende Tabelle ordnet die Fristen.

Die Werkzeuge, die wirklich helfen, und ihre Grenzen

Wenn KYC die Absicht nicht sieht, was dann? Die FATF setzt in ihrem Bericht weniger auf die Identitätsprüfung am Eingang als auf das Verfolgen des Geldes am Ausgang. Drei Hebel stehen im Vordergrund. Erstens die Blockchain-Analyse: Firmen wie Chainalysis, Elliptic und TRM Labs clustern Adressen und markieren Wallets, die mit Compounds oder Mixern verbunden sind. Jonathan Levin, Chef von Chainalysis, argumentiert, jede Transaktion werde in einem öffentlichen Register festgehalten, was Behörden und Sicherheitsfirmen erlaube, illegale Aktivitäten in Echtzeit zu verfolgen. Zweitens der Freeze-Button: Stablecoin-Emittenten können auf richterliche oder behördliche Anordnung Guthaben einfrieren, was bei USDT und USDC funktioniert, bei bewusst unfrierbaren Token wie dem von Huione aber ins Leere läuft. Drittens der Informationsaustausch zwischen Behörden und Privatsektor, den Thomson zur Priorität der britischen Präsidentschaft gemacht hat.

Gerade dieser dritte Hebel ist in Deutschland anspruchsvoll. Betrugsnetze bewegen sich über Grenzen und Institute hinweg, die Abwehr tut das selten. Das Wissen verteilt sich auf BaFin, FIU, BKA, Landeskriminalämter und Hunderte meldepflichtige Unternehmen, die untereinander nur eingeschränkt teilen dürfen. Wenn eine Börse eine verdächtige Opfer-Zahlung früh erkennt, nützt das wenig, solange die empfangende Plattform im Ausland nichts davon erfährt. Schnelligkeit ist bei Betrug entscheidend, denn anders als bei langsamer Schichtung ist das Geld oft binnen Minuten weitergeleitet. Den öffentlich-privaten und grenzüberschreitenden Datenaustausch ganz nach oben zu setzen, ist deshalb mehr als eine Floskel.

Doch die Grenzen sind real. Peter Van Valkenburgh vom Think Tank Coin Center hält in der Studie Tear Down this Walled Garden dagegen, das bestehende AML/KYC-Regime leiste gegen illegale Finanzströme, in seinen Worten, „remarkably little“, erzeuge aber enorme Kosten und Datenschutz-Lasten bei vernachlässigbarem Nutzen. Die Compliance-Kosten allein in den USA bezifferte er auf über 26 Milliarden Dollar im Jahr, während Schätzungen zufolge nur rund 0,2 Prozent krimineller Gelder je beschlagnahmt oder eingefroren würden. Die deutsche FIU-Bilanz mit ihrer Trefferquote unter einem Prozent liest sich wie eine lokale Bestätigung dieses Befunds. Die unbequeme Synthese: Die Werkzeuge der Nachverfolgung sind mächtiger als die der Vorbeugung, aber die Betrugsfabriken skalieren schneller, als Ermittler Wallets markieren können.

Was das für Nutzer und Plattformen heißt

Für Privatpersonen ist die wichtigste Erkenntnis, dass ein bestandener KYC-Check einer Plattform nichts über deren Seriosität aussagt und schon gar nichts über das Angebot, das dort beworben wird. Die typischen Warnzeichen des Pig Butchering sind gut dokumentiert: eine Kontaktaufnahme über Dating-App oder Messenger, die rasch auf eine Anlagechance lenkt; eine Trading-Oberfläche, die anfangs Gewinne zeigt und kleine Auszahlungen erlaubt; dann wachsender Druck, mehr einzuzahlen, und bei Auszahlungswünschen plötzliche „Steuern“ oder „Gebühren“. Keine seriöse Plattform garantiert Renditen, drängt zur Eile oder verlangt Nachzahlungen, um eine Auszahlung freizugeben. Wer unsicher ist, prüft die Lizenz des Anbieters im Register der BaFin und überweist niemals auf Zuruf.

Für Plattformen verschiebt sich die Pflicht von der Tür zum Innenraum. Verhaltensbasierte Überwachung, Abkühlphasen bei auffälligen Erstüberweisungen an neue Gegenstellen und direkte Warnhinweise an Kunden werden vom Kür- zum Pflichtprogramm. Zugleich bleibt die Datenfrage ungelöst: Jede Börse hält eine vollständige Ausweiskopie ihrer Kunden, was sie selbst zum Honeypot macht. Reputable Ansätze gehen deshalb in Richtung wiederverwendbarer, datensparsamer Identität, bei der nicht jede Plattform den vollen Ausweis speichert, sondern nur einen geprüften Nachweis erhält. Solche Verfahren lehnen sich an dieselbe Kryptografie an, die wir in unserer Analyse der Zero-Knowledge-Beweissysteme beschrieben haben: beweisen, ohne offenzulegen. Gegen den Betrug selbst hilft das nur mittelbar, gegen die Honeypot-Gefahr dagegen direkt.

Ausblick: 2027 wird das Prüfjahr

Die Verschiebung von der Geldwäsche zum Betrug ist nicht abgeschlossen, sie beginnt gerade. 2027 wird zum Jahr der Abrechnung: Die FATF veröffentlicht im Juni und Oktober die Ergebnisse ihrer beschleunigten Krypto-Prüfungen, die AMLA wählt ihre ersten direkt beaufsichtigten Institute aus, und am 10. Juli tritt die AMLR voll in Kraft. In den USA läuft parallel mit dem GENIUS-Gesetz ab Januar 2027 der erste bundesweite Stablecoin-Rahmen an, der Emittenten erstmals den Pflichten des US-Geldwäscherechts (Bank Secrecy Act) unterwirft. Die transatlantische Richtung ist dieselbe: weg von der Frage, ob Regeln existieren, hin zur Frage, ob sie Betrug tatsächlich stoppen.

Gleichzeitig arbeitet die Zeit gegen die Aufseher. Thomsons Warnung, das Schlimmste stehe noch bevor, zielt auf einen konkreten Treiber: Künstliche Intelligenz senkt die Kosten der Täuschung drastisch. Deepfake-Videos umgehen die Liveness-Erkennung, synthetische Identitäten bestehen das Onboarding, und autonome Software-Agenten können Opfer rund um die Uhr bespielen. Wer verstehen will, wie weit solche KI-Agenten inzwischen eigenständig handeln, sieht dort eine Vorschau auf die nächste Betrugswelle. Der Scam-Compound-Bericht ist damit weniger ein Schlusspunkt als eine Ansage: Die Geldwäsche-Abwehr richtet ihr Fernrohr neu aus, von der Schleuse am Ausgang auf die Fabrik am Eingang. Gelingt die Neuausrichtung, trifft AML endlich dort, wo das schmutzige Geld entsteht. Misslingt sie, meldet das System weiter 375.000 Verdachtsfälle im Jahr, während 120.000 Menschen in Compounds festgehalten werden und eine deutsche Rentnerin ihr Erspartes freiwillig überweist.

Häufig gestellte Fragen (FAQ)

Was ist ein Scam-Compound?

Ein Scam-Compound ist ein abgeriegelter Gebäudekomplex, meist in Südostasien, in dem oft selbst zum Betrug gezwungene Menschen am Fließband Online-Betrug betreiben, vor allem Romance- und Anlagebetrug (Pig Butchering). Die FATF dokumentierte 2026 allein in Myanmar rund 120.000 zum Scammen gezwungene Menschen.

Warum nutzen Betrüger Stablecoins zur Geldwäsche?

Stablecoins sind wertstabil, hochliquid und bewegen sich direkt von Wallet zu Wallet, oft ohne eine Börse in der Mitte, an der KYC greifen könnte. Laut Chainalysis entfielen 2025 rund 84 Prozent des illegalen Krypto-Transaktionswerts auf Stablecoins.

Kann KYC Anlagebetrug verhindern?

Nur sehr begrenzt. KYC prüft die Identität, nicht die Absicht: Das Opfer durchläuft die Prüfung ehrlich und überweist dann freiwillig, während der Täter Strohleute oder gefälschte Ausweise nutzt. Gegen Anlagebetrug hilft eher eine laufende Verhaltensüberwachung als der einmalige Ausweis-Check.

Wer ist in Deutschland für Krypto-Geldwäsche zuständig?

Die BaFin lizenziert und beaufsichtigt Krypto-Dienstleister nach dem Geldwäschegesetz, Verdachtsmeldungen gehen an die FIU bei der Generalzolldirektion, und BKA sowie Staatsanwaltschaften verfolgen die Straftaten. Die Wertpapier-Marktaufsicht ist dabei nicht federführend.

Was ändert sich 2027 durch AMLR und AMLA?

Ab dem 10. Juli 2027 gilt die EU-Geldwäsche-Verordnung (AMLR) voll, samt Verbot anonymer Krypto-Konten und Privacy-Coins. Die neue Behörde AMLA in Frankfurt wählt 2027 ihre ersten direkt beaufsichtigten Institute aus und übernimmt ab 2028 die zentrale Aufsicht über Hochrisiko-Firmen.

Von Anneke de Vries, Redakteurin für Regulierung bei HOGE Wire.