DeFi-Compliance nach dem CLARITY-Aus: Code ohne Gesetz

Am 15. September 2026 hat der US-Senat den CLARITY Act gestoppt. Die sogenannte Cloture-Abstimmung, die die Debatte formell beenden und den Weg zur Verabschiedung freimachen sollte, verfehlte die nötigen 60 Stimmen deutlich; damit ist das große Marktstruktur-Gesetz für 2026 gescheitert. Einen Tag später hob die Federal Reserve den Leitzins zum ersten Mal seit 2023 an, auf eine Spanne von 3,75 bis 4,00 Prozent (Federal Reserve). Bitcoin notierte in dieser Woche bei rund 66.800 Euro (CoinGecko). Für die großen Schlagzeilen war das eine Geschichte über Zinsen und Kurse. Für alle, die dezentrale Finanzprotokolle regulieren oder bauen, war es etwas Grundlegenderes: die Bestätigung, dass die größte Krypto-Volkswirtschaft der Welt auf absehbare Zeit ohne eigenes DeFi-Gesetz auskommen muss.

Der CLARITY Act sollte genau die Frage beantworten, an der sich DeFi-Compliance seit Jahren festbeißt: Wer haftet, wenn eine Finanzdienstleistung nur aus Code besteht und niemand sie im klassischen Sinn betreibt? Mit dem Scheitern bleibt diese Frage in den USA vorerst das, was sie seit dem ersten Tornado-Cash-Verfahren war, eine Ansammlung von Gerichtsurteilen, Vergleichen und Behördenpraxis. In Europa läuft die Bewegung genau andersherum. Hier steht mit MiCA seit Ende 2024 ein Regelwerk, und die EU-Kommission fragt in einer noch bis Ende September laufenden Konsultation ausdrücklich, ob und wie DeFi künftig hineingehört. Dieser Text ordnet ein, was DeFi-Compliance 2026 konkret bedeutet, warum das CLARITY-Aus vor allem die Entwickler unter Druck lässt, und wie sich der amerikanische und der europäische Weg immer weiter voneinander entfernen.

Warum das eine deutsche Leserin oder einen deutschen Leser interessieren sollte? Weil DeFi kein nationaler Markt ist. Protokolle laufen auf globalen Netzwerken, ihre Entwickler sitzen in Berlin so gut wie in San Francisco, und die Regeln, die in Washington gesetzt oder eben nicht gesetzt werden, prägen die Werkzeuge, mit denen auch in Europa gearbeitet wird. Wenn die USA die Verantwortungsfrage den Gerichten überlassen, während die EU sie in Verordnungen schreibt, entsteht ein regulatorisches Gefälle, das jeder spürt, der ein Protokoll baut, eine Oberfläche betreibt oder schlicht sein eigenes Wallet nutzt. Der 15. September war deshalb kein rein amerikanisches Ereignis, sondern eine Weichenstellung, deren Folgen bis in die deutsche Krypto-Szene reichen.

Was am 15. September geschah

Cloture braucht im Senat 60 von 100 Stimmen; sie beendet Debatte und Blockade (den Filibuster) und ist damit die eigentliche Hürde für jedes umstrittene Gesetz. Für den CLARITY Act kam diese Mehrheit nicht zustande, obwohl die republikanische Führung am Wochenende zuvor eine überarbeitete Fassung mit zusätzlichen Ethik-Regeln vorgelegt hatte, um Bedenken der Demokraten auszuräumen (die Sorge, Amtsträger könnten von eigenen Krypto-Geschäften profitieren). Mehrere Demokraten, die monatelang mitverhandelt hatten, stimmten am Ende dennoch mit Nein. Das Gesetz war im Vorjahr mit breiter Mehrheit durch das Repräsentantenhaus gegangen (294 zu 134, crypto.news) und hatte den Bankenausschuss des Senats passiert; im Plenum aber zerbrach die Koalition an drei Streitpunkten: an Ethik-Auflagen, am Verbraucherschutz und an der Sorge vor illegalen Finanzströmen.

Die republikanische Senatorin Cynthia Lummis, seit über einem Jahr treibende Kraft hinter dem Projekt, zog schon vor der Abstimmung ein bitteres Fazit: „I think we’re done. It’s over.“ Man habe ein Jahr verhandelt und den Demokraten über 120 ihrer Forderungen erfüllt (CoinGape). Coinbase-Chef Brian Armstrong hatte sich bis zuletzt zuversichtlich gezeigt, mehr als 60 Stimmen zu bekommen (The Motley Fool); die Wettmärkte sahen es anders, und sie behielten recht. Nach dem Votum gilt CLARITY für 2026 als tot; der Senatskalender ist bis Jahresende mit Haushaltsstreit und beginnendem Wahlkampf gefüllt, ein neuer Anlauf ist frühestens 2027, realistisch eher 2028 zu erwarten. Wie dasselbe Votum die Zulassung von Krypto-ETFs und die Rolle der SEC-Aufsicht berührt, haben wir an anderer Stelle ausgeführt; hier geht es um die Folgen für DeFi.

DeFi-Compliance in einem Satz: wo endet die Kontrolle?

Praktisch jede Geldwäsche- und Sanktionsregel der Welt setzt einen Vermittler voraus: eine Bank, eine Börse, einen Zahlungsdienstleister, der Kunden identifiziert (KYC), verdächtige Vorgänge meldet und im Ernstfall Gelder einfrieren kann. DeFi entfernt genau diese Partei. Ein automatisierter Market Maker oder ein Kreditprotokoll ist eine Sammlung von Smart Contracts, die niemand anhält, niemand im engeren Sinn betreibt und (im Idealfall) niemand kontrolliert. Die entscheidende Frage der DeFi-Compliance lautet deshalb nicht „ist das erlaubt?“, sondern „wer ist die verantwortliche Person, wenn es keine gibt?“. Die pragmatische Antwort, auf die sich Aufseher weltweit zubewegen, ist leicht zu formulieren und schwer anzuwenden: Verantwortung folgt der Kontrolle. Wer ein Protokoll steuern, eine Oberfläche betreiben, Gebühren abschöpfen oder per Admin-Schlüssel eingreifen kann, ist ein tauglicher Anknüpfungspunkt; wo niemand das kann, laufen die klassischen Pflichten ins Leere.

Kontrolle ist dabei kein einzelner Schalter, sondern verteilt sich über mehrere Regelkreise mit jeweils eigenen Behörden und eigenen Anknüpfungspunkten. In der EU sind das vor allem die Geldwäscheaufsicht, das Sanktionsrecht, das Marktrecht (MiCA für Spot-Kryptowerte, MiFID II für Derivate) und das Steuerrecht. Die folgende Übersicht zeigt, woran die Pflichten praktisch andocken, wenn kein klassischer Betreiber vorhanden ist.

Der globale Maßstab: der FATF-Kontrolltest

So weit USA und EU beim DeFi-Recht auseinanderliegen, den gemeinsamen Nenner liefert die Financial Action Task Force (FATF), das globale Standardgremium gegen Geldwäsche. Im Juli 2026 veröffentlichte die FATF ihren ersten eigenen DeFi-Bericht und stellte darin einen Test in den Mittelpunkt, der die europäische wie die amerikanische Debatte prägt: den Control-or-Sufficient-Influence-Test, kurz COSI. Er teilt Protokolle in drei Gruppen. Erstens: zentral gesteuerte Arrangements mit identifizierbaren Kontrolleuren, die als VASP der vollen Geldwäscheaufsicht unterliegen. Zweitens: faktisch zentralisierte Protokolle, deren Kontrolleure sich verstecken, die aber weiterhin im Aufsichtsbereich bleiben (die Behörden sollen die Verantwortlichen ermitteln). Drittens: wirklich führerlose Protokolle, die von niemandem kontrolliert werden und deshalb außerhalb der VASP-Regeln liegen, für die aber weiter eine risikobasierte Restpflicht gilt (Chainalysis).

Bemerkenswert ist weniger der Test als die Lücke zwischen Anspruch und Praxis. Laut FATF hatten rund 93 Prozent der befragten Länder für qualifizierende DeFi-Arrangements bislang keine Standards umgesetzt; nur eine Handvoll Jurisdiktionen hatte überhaupt eine Lizenzierungspflicht eingeführt, und nur eine einzige hatte eine Durchsetzungsmaßnahme ergriffen (FATF). Zur Kontrollprüfung nennt die FATF konkrete Indikatoren: Konzentration von Governance-Token, Admin-Rechte und Upgrade-Fähigkeit, die Richtung von Gebühren- und Treasury-Strömen sowie Einfluss auf Entwicklerteam und Frontend-Infrastruktur. Diese Liste taucht, kaum verändert, in beiden Rechtsräumen wieder auf: in den US-Verfahren gegen einzelne Akteure und in der europäischen Debatte über die Dezentralisierungs-Kriterien der MiCA-Review.

Diese Zahlen sind mehr als Statistik. Sie erklären, warum Aufsicht in der Praxis fast immer an denselben greifbaren Stellen ansetzt: an den Fiat-Rampen, den gehosteten Oberflächen und den Stablecoin-Emittenten. Wo der Kontrolltest ins Leere läuft, weil ein Protokoll tatsächlich niemandem gehört, verschiebt sich die Durchsetzung zwangsläufig auf die Ränder, dorthin, wo Krypto auf reguliertes Geld und identifizierbare Unternehmen trifft. Das gilt in Washington wie in Frankfurt. Der FATF-Test liefert also die gemeinsame Sprache, aber er löst die eigentliche Schwierigkeit nicht: Ein wirklich dezentrales System hat per Definition keinen Adressaten, den eine Behörde belangen könnte.

Was CLARITY für DeFi gebracht hätte: Section 604

Für DeFi hing an CLARITY vor allem ein einziger Paragraf: Section 604. Er übernahm den sogenannten Blockchain Regulatory Certainty Act und hätte festgeschrieben, dass ein „non-controlling developer or provider of blockchain services“ nicht allein deshalb als Geldübermittler (money transmitting business) gilt, weil er Software bereitstellt. Die Definition setzte genau bei der Kontrolle an: geschützt wäre, wer nicht die „unilateral and independent ability to control, initiate upon demand, or effectuate transactions“ über fremde Kryptowerte hat. Wer dagegen Admin-Schlüssel, Upgrade-Rechte oder die Fähigkeit zum Einfrieren behält, wäre ausdrücklich nicht erfasst gewesen (crypto.news). Der Schutz wäre also nie ein Freibrief gewesen, sondern eine Grenze entlang derselben Kontroll-Linie, die auch der FATF-Test zieht.

Genau diese Klausel wurde zum Reibungspunkt. Ein Bündnis von Strafverfolgern, darunter die National Sheriffs’ Association, die International Association of Chiefs of Police und die National District Attorneys’ Association, warnte, Section 604 schaffe eine „compliance-free lane that launderers, sanctions evaders, and fraud networks will route through“. Ein Kompromiss der Senatoren Lummis und Grassley versuchte gegenzusteuern, indem er strafrechtliche Haftung für jeden vorsah, der „knowingly“ illegale Transaktionen erleichtert, also die reine Code-Veröffentlichung vom aktiven Betrieb eines illegalen Dienstes trennte. Der Kompromiss überzeugte am Ende nicht genug Senatoren. Mit dem Scheitern der Vorlage ist auch dieser Entwickler-Schutz vom Tisch, und zwar ohne Ersatz.

Warum das Aus vor allem die Entwickler trifft

Ohne Section 604 bleibt für US-Entwickler die Rechtslage, die es schon vor CLARITY gab: Es existiert keine gesetzliche Klarstellung, dass das Schreiben und Veröffentlichen von nicht-verwahrender Software sie aus der money-transmitter-Theorie heraushält. Ob ein Entwicklerteam belangt werden kann, entscheidet damit weiter der Einzelfall entlang der Frage, wie viel Kontrolle es tatsächlich ausübt. Für Bauherren dezentraler Protokolle ist das kein akademisches Problem: Es beeinflusst, ob sie Governance abgeben, ob sie Admin-Schlüssel verbrennen und ob sie überhaupt in den USA ansässig bleiben.

Die Interessenvertretung der Branche zieht daraus eine klare Linie. Amanda Tuminelli, Geschäftsführerin und Chefjuristin des DeFi Education Fund, betont, die Zukunft der DeFi-Entwicklung hänge an Regeln, die Software-Entwickler schützen, Nutzern die Kontrolle über die eigenen Vermögenswerte lassen und das erlaubnisfreie (permissionless) Fundament offener Netzwerke bewahren (DeFi Education Fund). Genau dieses Fundament ist es, das ohne Gesetz nun weiter im Ungewissen bleibt. Wo die Grenze der Kontrolle verläuft, entscheidet in den USA bis auf Weiteres nicht der Kongress, sondern ein Gericht in Manhattan.

Tornado Cash: der Fall, der zum Maßstab wurde

Dieses Gericht kennt die Materie bereits. Der Fall Tornado Cash ist zum Lehrstück für die ganze DeFi-Compliance geworden, und er zerfällt in drei Teile. Erstens die Sanktionsfrage: Ein Bundesberufungsgericht (Fifth Circuit) entschied im Fall Van Loon, dass unveränderliche Smart Contracts kein „Eigentum“ im Sinne des Sanktionsrechts sind, weil niemand sie besitzt oder kontrolliert; das OFAC nahm Tornado Cash daraufhin im März 2025 von der Sanktionsliste (CoinDesk). Zweitens die Personenfrage: Mitentwickler Roman Storm wurde im August 2025 wegen Verschwörung zum Betrieb eines nicht lizenzierten Geldübermittlers verurteilt; bei den Vorwürfen der Geldwäsche und des Sanktionsbruchs konnte sich die Jury nicht einigen.

Und drittens die Wiederholung: Die Staatsanwaltschaft will die beiden offenen Anklagepunkte neu verhandeln. Richterin Katherine Polk Failla hat den Neustart auf den 26. April 2027 gelegt, mit einem kombinierten Strafrahmen von bis zu 40 Jahren (Decrypt). In diese Lücke sprach das US-Justizministerium eine bemerkenswerte Grundhaltung: Matthew Galeotti, damals Leiter der Kriminalabteilung, erklärte nach dem Urteil, das bloße Schreiben von Code ohne böse Absicht sei kein Verbrechen („Our view is that merely writing code, without ill intent, is not a crime“), und das Ministerium werde „not use indictments as a lawmaking tool“ (CoinDesk). Das ist der Kern der amerikanischen Ironie nach dem 15. September: Die Behörde beteuert, sie wolle über Anklagen kein Recht setzen, doch ohne CLARITY bleibt genau das die Realität. Wo ein Gesetz fehlt, macht der Präzedenzfall die Regel.

Der Haftungs-Stack: wen es trifft, wenn nur Code läuft

Aus den bisherigen Verfahren lässt sich ein Muster ablesen, das man als Haftungs-Stack bezeichnen kann. Die Haftung wandert nicht zum Code, sondern zu den Menschen und Strukturen mit Kontrolle und Profit. Entwickler werden belangt, wenn sie einen Dienst rund um den Code betreiben, nicht für den Code selbst (Storm). Betreiber von Oberflächen haften, weil eine gehostete Website ein greifbares Rechtssubjekt ist. DAOs sind der bislang schärfste Fall: Die US-Terminaufsicht CFTC erwirkte gegen die Ooki DAO ein Versäumnisurteil, das die DAO als „Person“ und ihre Governance-Token-Stimmberechtigten als Mitglieder einstufte; das Strafgeld lag bei 643.542 US-Dollar, die Website musste offline (CFTC).

Die Ooki-Entscheidung wirft eine unbequeme Frage auf, die auch bei Krypto-Fonds im DAO-Gewand mitschwingt, etwa in der Debatte darüber, ob ein KI-Fonds je ein echter Fonds war: Wer per Token abstimmt, kann als Mitglied einer haftenden Vereinigung gelten. Die folgende Tabelle fasst den Stack zusammen, samt der offenen Flanke bei passiven Liquiditätsgebern.

Der rote Faden durch alle Fälle ist derselbe: Haftung folgt Kontrolle und Profit, nicht dem Etikett. Wer eine Gebühr abschöpft, ein Upgrade steuern oder Nutzergelder anhalten kann, gilt als Anknüpfungspunkt; wer nur Liquidität in einen Pool legt oder eine Transaktion technisch weiterreicht (ein Relayer), ist es bislang kaum. Genau diese Ebene, passive Liquiditätsgeber und Relayer, ist juristisch am wenigsten geklärt und der wahrscheinlichste Schauplatz des nächsten Präzedenzfalls. Für Anlegerinnen und Anleger, die in einem Pool Liquidität bereitstellen, ist das eine stille, aber reale Restunsicherheit, die kein Gerichtsurteil bislang ausgeräumt hat. Solange CLARITY fehlt, bleibt auch diese Grenze eine Sache der nächsten Anklage.

Die Frontend-Engstelle

Der praktisch wichtigste Punkt im Stack ist die Oberfläche. Ein Smart Contract auf Ethereum lässt sich nicht zensieren; die Website oder App, über die Menschen ihn bedienen, ist dagegen ein Unternehmen mit Servern, einer Rechtsform und einer Adresse. Genau dort setzt Compliance in der Praxis an. Uniswap Labs etwa lässt eingehende Adressen von einem Analysedienstleister (TRM Labs) auf Sanktions- und Diebstahlsbezüge prüfen und blockiert markierte Wallets im Frontend, während das darunterliegende Protokoll unverändert weiterläuft (The Block). Geoblocking, das Aussteuern einzelner Token und das Sperren auffälliger Adressen passieren fast alle auf dieser Ebene. Das Protokoll bleibt offen; die Tür davor wird bewacht.

Diese Engstelle verschiebt sich allerdings, sobald die Vermittlerrolle selbst automatisiert wird. Wenn autonome KI-Agenten anfangen, eigenständig on-chain zu handeln, wird die Frage nach dem kontrollierenden Menschen noch kniffliger; die Prognosemärkte als Testfeld autonomer KI-Agenten zeigen, wie schnell sich die Grenze zwischen Werkzeug und Betreiber verwischt. Solange aber ein Mensch die Oberfläche hostet, ist er der greifbarste Adressat, den Aufseher haben, und der einzige, den sie ohne neues Gesetz zuverlässig erreichen.

Die Hintertür über das Settlement-Asset

Es gibt einen zweiten Weg, auf dem Compliance in dezentrale Systeme eindringt, ganz ohne Vermittler: über das Geld selbst. Der überwiegende Teil des DeFi-Verkehrs wird in Stablecoins abgewickelt, und deren Emittenten sind alles andere als dezentral. Der US-amerikanische GENIUS Act verpflichtet Emittenten von Zahlungs-Stablecoins ausdrücklich, technisch in der Lage zu sein, Guthaben auf rechtmäßige Anordnung einzufrieren, zu beschlagnahmen oder zu vernichten (White House). In der EU gilt Vergleichbares über MiCA: E-Geld-Token (EMT) und wertreferenzierte Token (ART) dürfen nur von lizenzierten Emittenten stammen, die den Aufsichtspflichten unterliegen. Wer den Emittenten reguliert, reguliert damit faktisch jedes Protokoll, das dessen Coin als Abwicklungswährung nutzt, egal wie dezentral dieses Protokoll behauptet zu sein.

Der Hebel ist real. Der Stablecoin-Markt umfasst inzwischen rund 300 Milliarden US-Dollar, klar dominiert von USDT und USDC (CoinGecko). Zum Vergleich: Das in DeFi gebundene Kapital (Total Value Locked) lag zuletzt bei rund 70 Milliarden US-Dollar, ein Rückgang von etwa 39 Prozent seit Jahresbeginn (CryptoRank, DefiLlama). Wenn der Einfrier-Knopf eines Emittenten ganze Adressen stilllegen kann, dann sitzt die wirksamste Compliance nicht im Smart Contract, sondern in der Bilanz des Stablecoin-Herausgebers. In der EU ist das kein Nebeneffekt, sondern gewollt: USDT wurde für Privatkunden von den großen Handelsplätzen ausgelistet, während MiCA-konforme Euro- und Dollar-Token nachrücken.

In Europa ist dieser Mechanismus besonders sichtbar. MiCA verlangt von Emittenten wertreferenzierter Token und E-Geld-Token vollständig gedeckte, getrennt verwahrte Reserven und eine Lizenz; Tether hat für seinen USDT bislang keine solche Zulassung angestrebt, weshalb die großen europäischen Handelsplätze das Token für Privatkunden ausgelistet haben. An seine Stelle treten regulierte Alternativen wie der von Circle herausgegebene USDC und der Euro-Token EURC oder Euro-Stablecoins deutscher Häuser. Für die DeFi-Compliance heißt das: Selbst ein vollkommen dezentrales Protokoll erbt die Regeln seines Abwicklungs-Coins. Wer in Euro-Stablecoins rechnet, rechnet in einem regulierten Instrument, ob er will oder nicht, und damit in einem, das eingefroren werden kann.

Europas Gegenentwurf: MiCA, AMLR und die BaFin

Während Washington auf ein Gesetz wartete, das nun ausbleibt, hat Europa längst geliefert, wenn auch mit einer bewussten Leerstelle. MiCA reguliert Krypto-Dienstleister (CASPs) und Emittenten, nicht die autonomen Protokolle selbst. Die BaFin bringt das in ihrem Merkblatt zu Kryptowerte-Dienstleistungen auf die Standardformel: Erfasst ist, wer eine Dienstleistung erbringt, nicht der Code an sich (BaFin). Die europaweite Übergangsfrist endete am 1. Juli 2026; Deutschland ging mit dem Kryptomärkteaufsichtsgesetz einen verkürzten Sonderweg und ließ die alte Erlaubnis schon Ende 2025 auslaufen. Die BaFin trägt dabei einen Doppelhut: MiCA-Zulassung auf der einen, Geldwäscheaufsicht nach dem GwG auf der anderen Seite.

Um MiCA herum spannt sich ein ganzer Regel-Stapel. Die Geldwäscheverordnung (AMLR) gilt EU-weit ab dem 10. Juli 2027 und bringt unter anderem ein Verbot anonymer Krypto-Konten und von Anonymisierungs-Coins sowie eine Bargeldobergrenze; die neue Aufsichtsbehörde AMLA in Frankfurt übernimmt ab 2028 die direkte Aufsicht über besonders risikoreiche Institute. Die Transfer-of-Funds-Verordnung (TFR) verlangt seit Ende 2024 die Übermittlung von Sender- und Empfängerdaten (die Travel Rule) ohne Bagatellgrenze und zusätzliche Prüfungen bei Transfers von oder zu selbstverwahrten Wallets über 1.000 Euro. Wo bei alldem die Grenze zwischen reguliertem Dienst und freiem Protokoll verläuft, ist dieselbe Kontrollfrage wie in den USA, nur dass Europa sie in Verordnungen gießt statt in Anklageschriften. Für die Randbereiche, etwa Gaming-Token, hat die Einordnung von NFTs und Gaming-Token unter MiCA gezeigt, wie fein die Trennlinie sein kann.

Die MiCA-Review und die DeFi-Frage

Und hier schließt sich der Kreis. Ausgerechnet in der Woche des CLARITY-Aus läuft in Brüssel eine Konsultation aus, die genau die Frage stellt, an der Washington gescheitert ist. Die zielgerichtete MiCA-Review der EU-Kommission (86 Fragen, Frist am 30. September 2026) prüft ausdrücklich, ob und wie DeFi, Staking, Lending und Derivate künftig unter das Regelwerk fallen sollen (FinanceFeeds, Norton Rose Fulbright). Für die Einstufung eines Protokolls als „hinreichend dezentral“ erwägt die Kommission Kriterien wie Admin-Schlüssel, konzentrierte Governance, Verwahrung, identifizierbare Betreiber und Marketing-Aktivität, also fast wortgleich die Indikatoren des FATF-Kontrolltests.

Die Antworten fließen in einen Bericht ein, der nach den Artikeln 140 und 142 bis zum 30. Juni 2027 fällig ist und in einen Gesetzesvorschlag münden kann, ein mögliches „MiCA 2.0“. Der Unterschied zum amerikanischen Modell ist grundsätzlich: Europa versucht, die Kontrollfrage vorab und abstrakt zu beantworten, per Verordnung; die USA beantworten sie nachträglich und konkret, Fall für Fall. Beide Wege haben ihren Preis. Der europäische riskiert, Innovation vorschnell in Kategorien zu pressen, die für klassische Intermediäre gemacht wurden. Der amerikanische lässt Entwickler, wie es das Justizministerium selbst nennt, „guessing“, im Ungewissen darüber, was strafbar ist.

Konkret geht es in der Review um mehr als DeFi im engeren Sinn. Zur Debatte stehen auch Staking (bislang nur in der verwahrenden Variante als Nebendienstleistung erfasst), Lending und Borrowing (nicht eigenständig reguliert) sowie die Frage, ob NFT-Dienstleister einbezogen werden. Für DeFi zeichnen sich zwei mögliche Hebel ab: eine Zertifizierung von Protokollen und Smart Contracts oder Sorgfaltspflichten der CASPs, die den Zugang zu DeFi-Anwendungen vermitteln. Deutschland tritt dabei eher zurückhaltend auf und pocht auf die nationale Aufsichtskompetenz der BaFin, während andere Mitgliedstaaten eine stärkere Rolle der ESMA fordern. Wie die Konsultation ausgeht, entscheidet mit darüber, ob Europas heutige Leerstelle bei DeFi bestehen bleibt.

Zwei Wege aus der Gatekeeper-Falle

Unabhängig davon, wer die Regeln setzt, sucht die Branche selbst nach Wegen, Compliance ohne klassischen Türsteher zu leisten. Zwei Pole zeichnen sich ab. Der erste ist erlaubnispflichtige (permissioned) DeFi: Aave Horizon, eine lizenzierte, separate Instanz des Aave-Protokolls, lässt nur geprüfte Institutionen zu, die zuvor durch den Emittenten des jeweiligen Real-World-Assets identifiziert wurden; nach Angaben von Aave sind dort mehr als 440 Millionen US-Dollar eingezahlt, mit einem DAO-Ziel von über einer Milliarde für 2026 (Aave). Compliance durch Kennen aller Beteiligten, gewissermaßen. Bemerkenswert dabei: Nur die Sicherheiten-Seite ist streng erlaubnispflichtig, Stablecoins darf jeder bereitstellen.

Der zweite Pol geht den umgekehrten Weg. Privacy Pools, prominent umgesetzt vom Projekt 0xbow und seit März 2025 auf Ethereum live, erlauben es Nutzern, per Zero-Knowledge-Beweis zu belegen, dass ihre Gelder nicht aus einer Menge bekannter illegaler Quellen stammen, ohne die eigene Identität preiszugeben (The Block). Compliance durch Kennen von niemandem, sozusagen; das Konzept geht auf ein Papier zurück, an dem auch Ethereum-Mitgründer Vitalik Buterin beteiligt war. Beide Ansätze umgehen den Widerspruch, dass Regeln einen Vermittler voraussetzen, den DeFi gerade abschafft, und beide werfen neue Fragen auf: Wer kuratiert die Ausschlussliste der Privacy Pools, und ist ein „konformer Mixer“ nicht doch wieder Geldübermittlung im Sinne des Storm-Urteils?

Zwischen den Polen liegt ein pragmatischer Mittelweg, den die Branche „DeFi mullet“ nennt: vorne ein regulierter, KYC-geprüfter Fintech-Zugang, hinten ein dezentrales Protokoll, das die eigentliche Arbeit erledigt. Anbieter wie Maple oder Centrifuge zeigen, dass sich institutionelles Kapital so an DeFi-Renditen andocken lässt, ohne die aufsichtsrechtliche Tür ganz zu öffnen. Der Preis ist derselbe wie bei Aave Horizon: Der Zugangspunkt wird zum Kontrolleur und damit zum haftbaren Adressaten. Voll erlaubnisfreie DeFi bleibt technisch möglich, wandert aber an den Rand des regulierten Systems, wo weder ein US-Gericht noch die BaFin einen einfachen Ansprechpartner findet.

USA gegen EU: der transatlantische Vergleich

Fasst man die beiden Wege nebeneinander, wird der Bruch deutlich. Nach dem 15. September regiert in den USA der Präzedenzfall, in der EU die Verordnung. Beide zielen auf dieselbe Kontroll-Linie, doch sie kommen aus entgegengesetzten Richtungen, und für ein global gebautes Protokoll bedeutet das doppelte Unsicherheit statt halber.

Für ein Protokoll, das Nutzer auf beiden Kontinenten hat, ist die Lage damit paradox. In den USA ist vieles erlaubt, was nicht ausdrücklich verboten wurde, doch niemand weiß genau, wo die Grenze liegt, bis eine Staatsanwaltschaft sie zieht. In der EU ist die Grenze aufgeschrieben, aber sie kann sich mit der nächsten Verordnung verschieben. Beide Systeme laufen auf denselben Kontrolltest hinaus, und beide treffen dieselbe unbequeme Wahrheit: Je dezentraler ein Protokoll wirklich ist, desto weniger gibt es jemanden, den man zur Rechenschaft ziehen kann. Das CLARITY-Aus hat diese Wahrheit nicht geändert, es hat sie für die USA nur um Jahre verlängert. Wer heute baut, plant deshalb für zwei Rechtsordnungen zugleich, die eine improvisiert, die andere kodifiziert.

Was das für deutsche Nutzer und Entwickler heißt

Für Anlegerinnen und Anleger in Deutschland ändert das CLARITY-Aus unmittelbar wenig. Die Nutzung von DeFi und die Selbstverwahrung sind hier legal; die Pflichten greifen an den Zugangspunkten, also bei den CASPs und den gehosteten Oberflächen. Praktisch heißt das: Wer über eine regulierte Plattform ein- und aussteigt, trifft dort auf KYC und, bei Transfers zur eigenen Wallet über 1.000 Euro, auf die Nachweispflichten der Travel Rule. Wichtig bleibt der Hinweis, den die BaFin regelmäßig gibt: Kryptowerte fallen nicht unter die gesetzliche Einlagensicherung; der Insolvenzschutz läuft allein über die Vermögenstrennung, nicht über einen Entschädigungsfonds.

Für Entwickler ist die Botschaft ernüchternder. Kontrolle ist gleich Haftung, in beiden Rechtsräumen. Wer ein Protokoll wirklich aus der Hand geben will, muss Admin-Schlüssel und Governance-Konzentration konsequent abbauen, denn genau daran messen FATF wie EU-Kommission die Dezentralität. Zugleich ist offen, ob die MiCA-Review diese Freiheit einschränkt. Und über allem steht die unbequeme Frage nach dem Nutzen: Peter Van Valkenburgh von der Denkfabrik Coin Center hält dem geltenden Geldwäscheregime vor, es leiste bei allem Überwachungsaufwand „remarkably little“, um illegale Finanzströme zu verhindern (Coin Center). Dieselbe Analyse beziffert die jährlichen Kosten des US-Geldwäscheregimes auf über 26 Milliarden US-Dollar, während nach den dort zitierten UN-Schätzungen nur ein Bruchteil eines Prozents der kriminellen Erlöse je eingezogen wird. Die Zahlen stützen die Skepsis: Illegale Aktivität macht laut Chainalysis weiter deutlich unter einem Prozent des On-Chain-Volumens aus (Chainalysis). Das CLARITY-Aus verschiebt in den USA nicht die Frage, ob DeFi reguliert wird, sondern nur, wer es tut: bis auf Weiteres die Gerichte, nicht der Gesetzgeber.

Häufige Fragen (FAQ)

Ist DeFi in Deutschland legal?

Ja. Die Nutzung dezentraler Protokolle und die Selbstverwahrung von Kryptowerten sind in Deutschland und der EU erlaubt. Reguliert werden nicht die Protokolle selbst, sondern Dienstleister (CASPs) und Emittenten unter MiCA sowie die Geldwäschepflichten an den Zugangspunkten. Wo eine zentrale Oberfläche oder ein identifizierbarer Betreiber existiert, greifen jedoch Aufsichts- und AML-Pflichten.

Was war Section 604 des CLARITY Act, und warum ist sie gescheitert?

Section 604 hätte nicht-kontrollierende Entwickler von der Einstufung als Geldübermittler (money transmitter) ausgenommen, solange sie keine Kontrolle über Nutzergelder haben. Mit dem Scheitern der Cloture-Abstimmung am 15. September 2026 ist die gesamte Vorlage samt diesem Entwickler-Schutz für 2026 gestoppt; ein neuer Anlauf ist frühestens 2027 zu erwarten.

Wer haftet, wenn ein DeFi-Protokoll für Geldwäsche genutzt wird?

Nach der bisherigen US-Praxis folgt die Haftung der Kontrolle: Entwickler, die einen Dienst betreiben (Storm), Betreiber von Oberflächen (Uniswap-Screening) und steuernde DAOs (Ooki) wurden belangt. Reine Code-Veröffentlichung ohne böse Absicht gilt laut US-Justizministerium nicht als Straftat, doch die Grenze verläuft an der tatsächlichen Kontrolle über Transaktionen und Gelder.

Reguliert MiCA DeFi?

Bisher nicht direkt. MiCA erfasst Dienstleister und Emittenten, nicht vollständig autonome Protokolle. Die laufende MiCA-Review (Konsultation bis 30. September 2026) prüft aber Kriterien wie Admin-Schlüssel, Governance-Konzentration und identifizierbare Betreiber, um zu bestimmen, ab wann ein Protokoll als hinreichend dezentral gilt.

Wie kann ein Protokoll ohne Vermittler überhaupt Compliance erfüllen?

Zwei Wege zeichnen sich ab: erlaubnispflichtige (permissioned) DeFi wie Aave Horizon, wo nur geprüfte Institutionen zugelassen werden, und Privacy Pools, die per Zero-Knowledge-Beweis belegen, dass Gelder nicht aus illegalen Quellen stammen, ohne Identitäten offenzulegen. Zusätzlich greift Compliance zunehmend über das Settlement-Asset, also über einfrierbare Stablecoins.

Anneke de Vries ist Regulierungsredakteurin bei HOGE Wire und verfolgt die transatlantische Krypto-Aufsicht zwischen Washington, Brüssel und der BaFin.