DAO-Haftung 2026: die GbR, die niemand gegründet hat

Am 5. November sprang Bitcoin um rund sechs Prozent auf gut 71.000 Euro (CoinGecko), und die Aufmerksamkeit lag wieder einmal beim Kurs. Die wichtigere Zahl des Tages stand woanders: Lido, mit rund 23 Milliarden Dollar das größte DeFi-Protokoll der Welt (DefiLlama), wird in Kalifornien gerade als Personengesellschaft verklagt. Nicht das Protokoll. Die Menschen dahinter.

Damit ist die Frage auf dem Tisch, die DeFi am liebsten umgeht: Wer haftet für eine DAO? Wenn ein Protokoll „nur Code“ ist, wer steht dann vor Gericht, wenn etwas schiefgeht? Die Antwort des Jahres 2026 lautet, dass DeFi-Compliance bei einer dezentralen Organisation weniger eine Frage des Regelbuchs ist als eine Frage der Rechtsform. Und die Rechtsform, in die eine DAO ohne eigenes Zutun hineinrutscht, ist für ihre Mitglieder die denkbar schlechteste.

Die fünf Regelkreise, an denen sich jede Krypto-Compliance abarbeitet, von der Geldwäsche über das Sanktionsrecht bis zur MiCA, haben eines gemeinsam: Sie brauchen einen Adressaten. Einen Verpflichteten, einen Emittenten, einen Dienstleister, jedenfalls eine greifbare juristische oder natürliche Person. Eine DAO ist so gebaut, dass es diesen Adressaten nicht gibt. Drei Entwicklungen prallen 2026 genau an dieser Lücke aufeinander: die US-Rechtsprechung (Ooki, Lido), das deutsche Personengesellschaftsrecht (die GbR), und eine US-Behörde, die sich gerade zurückgezogen hat und das Haftungsrisiko damit den privaten Klägern überlässt.

Warum DeFi-Compliance bei einer DAO zuerst eine Rechtsform-Frage ist

Die übliche DeFi-Compliance-Debatte dreht sich darum, welche Regel greift: Fällt der Token unter die MiCA? Ist das Protokoll ein Verpflichteter nach der Geldwäscheverordnung? Verstößt ein Pool gegen Sanktionen? Jede dieser Regeln setzt aber voraus, dass es jemanden gibt, den sie adressieren kann. Der eigentliche Trick einer DAO besteht darin, genau diesen Jemand zu löschen. Bevor man also fragt, welche Regel gilt, muss man fragen: Ist dieses Kollektiv überhaupt eine rechtsfähige Einheit, und falls nicht, wer sind seine Mitglieder, und stehen sie am Ende persönlich gerade?

On-Chain-Abstimmungen sind dabei nicht symbolisch. Wenn die Token-Halter eines Projekts über eine Governance-Vorlage entscheiden, etwa beim Votum von Render über RNP-024, oder wenn eine Abstimmung eine Protokoll-Kasse umwidmet, dann ist das eine Geschäftsführungsentscheidung einer Gruppe. Für eine Gruppe, die einen gemeinsamen Zweck verfolgt und gemeinsam entscheidet, ohne eine Rechtsform zu wählen, hat das Recht ein Wort: Personengesellschaft. Und Personengesellschaften bringen, in den USA wie in Deutschland, die persönliche Haftung ihrer Mitglieder mit.

Das ist der unbequeme Kern der DAO-Compliance 2026. Die BaFin kann die Börse beaufsichtigen, die einen Token listet; die künftige AMLA kann den Verwahrer kontrollieren; aber die DAO, die das Protokoll steuert, sitzt in einer Rechtslücke, und diese Lücke füllt sich mit der für die Beteiligten gefährlichsten Struktur. Um zu verstehen, warum, lohnt ein Blick auf die beiden Fälle, die das Thema aus der Theorie geholt haben.

Dass die prägenden Fälle aus den USA kommen, heißt nicht, dass sie deutsche Leser nichts angehen. Die Logik, nach der ein Kollektiv ohne Rechtsform zur haftenden Personengesellschaft wird, existiert im deutschen Recht genauso, nur unter anderem Namen. Und die Beteiligten sitzen längst hier: deutsche Entwickler, die an Protokollen mitbauen, deutsche Fonds, die Governance-Token halten, deutsche Nutzer, die in DAOs abstimmen. Die US-Urteile sind deshalb weniger ein fremdes Schauspiel als eine Vorschau darauf, welche Fragen ein deutsches Gericht eines Tages stellen wird, und das deutsche Recht hat auf einige davon bereits eine härtere Antwort als das amerikanische.

Der Fall Ooki: als eine DAO zur „Person“ wurde

Dass eine DAO keine rechtliche Nichtexistenz ist, hat eine US-Behörde schon 2023 vorgeführt. Die Commodity Futures Trading Commission (CFTC) hatte im September 2022 die Ooki DAO verklagt, weil sie über ein dezentrales Protokoll unzulässig gehebelten Margin-Handel für Privatkunden anbot und faktisch als nicht registrierter Handelsplatz agierte. Ooki war der Nachfolger von bZeroX; dessen Gründer Tom Bean und Kyle Kistner hatten das Protokoll in eine DAO überführt, nach Darstellung der Behörde ausdrücklich, um es unangreifbar zu machen. Die beiden zahlten im September 2022 eine Vergleichssumme von 250.000 Dollar (CFTC 8590-22).

Das Manöver ging nicht auf. Am 9. Juni 2023 erließ Richter William Orrick am Bundesgericht für Nordkalifornien ein Versäumnisurteil: Die Ooki DAO sei ein nicht eingetragener Verein (unincorporated association) und damit eine „Person“ im Sinne des Commodity Exchange Act, dessen Definition ausdrücklich auch Vereinigungen erfasst. Die Token-Halter, die abgestimmt hatten, galten als Mitglieder dieser Vereinigung. Das Urteil verhängte eine Strafe von 643.542 Dollar und ordnete die Abschaltung an (CoinDesk). Zugestellt hatte die CFTC die Klage zuvor über das Help-Chat-Fenster und das Forum der DAO, weil es keine Geschäftsadresse gab.

Ian McGinley, damals Enforcement-Direktor der CFTC, fasste die Logik des Verfahrens so zusammen: „The founders created the Ooki DAO with an evasive purpose, and with the explicit goal of operating an illegal trading platform without legal accountability.“ Die Lehre war unbequem: Ein Protokoll an eine DAO zu übergeben, löst die Verantwortung nicht auf, es etikettiert sie nur als Kollektiv um, und Kollektive sind erreichbar. Die eigentliche Vorgeschichte reicht bis 2017 zurück, als die SEC in ihrem Bericht zur ursprünglichen „The DAO“ feststellte, dass deren Token Wertpapiere im Sinne des Howey-Tests waren. Die Frage, ob eine DAO ein rechtliches Nichts sei, war also schon damals verneint.

Der Fall Lido: ist eine DAO heimlich eine Personengesellschaft?

Ooki war ein Behördenfall. Der Fall, der die Branche 2026 wirklich nervös macht, ist ein privater. Ein Anleger namens Andrew Samuels verklagte die Lido DAO und vier ihrer Wagniskapitalgeber, Paradigm, Andreessen Horowitz (a16z), Dragonfly und Robot Ventures. Sein Vorwurf: Der LDO-Token sei ein nicht registriertes Wertpapier, verkauft unter Verstoß gegen Paragraf 12(a)(1) des US-Wertpapiergesetzes von 1933. Um an die Hintermänner heranzukommen, argumentierte Samuels, die Lido DAO sei eine general partnership, eine offene Personengesellschaft, deren Gesellschafter persönlich haften.

Am 18. November 2024 ließ Richter Vince Chhabria die Klage zu. Er stellte klar, dass es im Verfahrensstadium reicht, eine Personengesellschaft schlüssig zu behaupten, nicht sie zu beweisen; und das sei Samuels gelungen. Paradigm, a16z und Dragonfly hätten sich plausibel so stark an Lidos Governance und Verwaltung beteiligt, dass sie als Teil der Gesellschaft gelten könnten. Lidos Handlungen, so das Gericht, seien eben nicht die eines autonomen Softwareprogramms, sondern die einer von Menschen geführten Organisation (DWT). Die Klage gegen Robot Ventures wies es ab, weil dessen Beteiligung nicht hinreichend dargelegt war.

Warum trifft es ausgerechnet die Investoren und nicht die tausenden anonymen LDO-Halter? Der Hebel steckt in der Anspruchsgrundlage. Paragraf 12(a)(1) des US-Wertpapiergesetzes erlaubt dem Käufer eines nicht registrierten Wertpapiers, vom Verkäufer die Rückabwicklung zu verlangen, also sein Geld zurück. Ist die Lido DAO eine Personengesellschaft, dann ist jeder Gesellschafter potenziell dieser Verkäufer, und die Haftung sucht sich die tiefste Tasche. Genau deshalb zielt Samuels auf Paradigm, a16z und Dragonfly: Wer Governance aktiv mitgestaltet und zugleich Kapital, Personal und Reputation einbringt, sieht nach außen wie ein geschäftsführender Partner aus, nicht wie ein passiver Spekulant. Darin liegt die eigentliche Sprengkraft. Risikokapitalgeber hatten Governance-Teilnahme lange als unverbindliches Engagement verbucht; der Fall Lido macht daraus womöglich eine gesamtschuldnerische Mithaftung für alles, was das Protokoll je an Token verkauft hat.

Die genauen „Konturen“ der Gesellschaft, also wer am Ende Gesellschafter ist, überließ Chhabria dem späteren Verfahren auf voller Beweisgrundlage (CryptoSlate). Genau dort steht der Fall jetzt: Die Beweisaufnahme läuft, die Schriftsätze zu den zentralen Anträgen reichen bis in den Spätherbst 2026, eine Entscheidung über Summary Judgment wird für Ende des Jahres erwartet (Fenwick). Das ist deshalb brisanter als Ooki, weil hier kein Staatsanwalt mit Ermessen agiert, sondern ein privater Kläger, und weil es die Geldgeber trifft, die ihre Governance-Teilnahme für passiv hielten. Wer schon einmal darüber nachgedacht hat, wessen ETH bei Lido, Rocket Pool oder Frax zuerst haftet, bekommt hier die zweite, juristische Haftungsebene dazu, oberhalb der reinen Staking-Ökonomie.

Wie man ein führungsloses Gebilde verklagt, und wer dann zahlt

Die naheliegende Rückfrage lautet: Wie verklagt man überhaupt etwas, das keine Adresse, kein Büro und keinen Vorstand hat? Die CFTC hat es im Fall Ooki vorgemacht, indem sie die Klage über das Help-Chat-Fenster und das Online-Forum der DAO zustellte; das Gericht ließ das gelten. Eine führungslose Einheit ist also nicht unerreichbar, sie ist nur über ihre sichtbaren Berührungspunkte erreichbar, und davon hat jede reale DAO reichlich: ein Forum, ein Governance-Portal, ein Multisig, ein Entwicklerteam, einen Delegate mit Klarnamen.

Für deutsche Verhältnisse ist der zweite Teil der Frage entscheidender: Wer zahlt am Ende? Die rechtsfähige GbR kann seit dem MoPeG selbst klagen und verklagt werden und sich sogar in ein Gesellschaftsregister eintragen lassen (als eGbR), doch das ändert nichts an der Haftung ihrer Gesellschafter. Weil diese als Gesamtschuldner einstehen, kann ein Gläubiger sich ein einziges, möglichst solventes Mitglied herausgreifen und von diesem die volle Summe verlangen; das Mitglied muss sich den Rest intern von den übrigen zurückholen. Übertragen auf eine DAO heißt das: Nicht der pseudonyme Kleinhalter trägt das reale Risiko, sondern der namentlich bekannte, zahlungskräftige Teilnehmer, der Fonds, das Gründungsteam, die Stiftung dahinter. Genau diese Asymmetrie macht die Partnerschafts-Theorie für Geldgeber so gefährlich.

Haftung folgt Kontrolle, nicht dem Etikett

Ooki und Lido teilen dieselbe Logik, und sie ist auch die Logik der internationalen Standardsetzer: Haftung folgt der Kontrolle und dem Gewinn, nicht dem Etikett „dezentral“. Die FATF hat das in ihrem DeFi-Bericht vom Juli 2026 zu einem Test verdichtet. Wo eine natürliche oder juristische Person Kontrolle oder hinreichenden Einfluss (control or sufficient influence) über eine DeFi-Struktur ausübt, fällt diese unter die Geldwäsche-Empfehlung 15. Indikatoren sind die Konzentration von Governance-Token, Admin- und Upgrade-Rechte, die Richtung der Gebühren- und Kassenströme und der Einfluss auf Entwicklerteam und Front-End. Zugleich hatten rund 93 Prozent der untersuchten Länder diese Standards für DeFi nicht umgesetzt, und nur 2 von 142 hatten überhaupt eine DeFi-Struktur registriert (Chainalysis).

Der FATF-Bericht sortiert DeFi-Strukturen in drei Fälle, und alle drei sind für die Haftungsfrage lehrreich. Gibt es identifizierbare Kontrolleure, ist die Struktur schlicht ein VASP mit voller Geldwäschepflicht. Wirkt sie dezentral, sind die Steuernden aber nur verborgen, bleibt sie dennoch im Anwendungsbereich, und die Aufsicht soll die Verantwortlichen aufspüren. Erst die wirklich führungslose Struktur fällt aus den VASP-Regeln heraus, doch selbst dann verlangt die FATF eine Minderung der Restrisiken. Die praktische Prüfung läuft über Indizien: Wer kontrolliert die Admin-Schlüssel und kann das Protokoll aktualisieren? Wohin fließen Gebühren und Kassenmittel? Wie konzentriert sind die Governance-Token? Wer steuert Entwicklerteam und Front-End? Je mehr dieser Fäden in wenigen Händen zusammenlaufen, desto klarer gibt es einen Verantwortlichen, und desto weniger hilft das Wort „dezentral“.

Für den deutschen Leser ist wichtig, dass keine dieser Regeln ins Leere greifen will: Jeder Regelkreis sucht einen Adressaten, und die DAO-Frage ist nur, wer dieser Adressat ist, wenn das Protokoll selbst unangreifbar bleibt.

Der Haftungs-Stack: von Entwicklern bis Token-Votern

Die US-Präzedenzfälle ergeben zusammen eine Leiter, auf der die Haftung von unten (reiner Code) nach oben (Kontrolle und Gewinn) klettert. Ganz unten steht der Entwickler. Roman Storm, Mitentwickler von Tornado Cash, wurde im August 2025 wegen Betriebs eines nicht lizenzierten Geldtransfergeschäfts verurteilt; in den Anklagepunkten Geldwäsche und Sanktionsverstoß konnte sich die Jury nicht einigen, die Wiederaufnahme ist für den 26. April 2027 angesetzt (Decrypt). Das DOJ selbst zieht die Grenze beim Vorsatz: Matthew Galeotti, damals in der Leitung der Kriminalabteilung, sagte, bloßes Schreiben von Code ohne böse Absicht sei kein Verbrechen. Code allein ist also geschützt; einen Dienst darum herum zu betreiben, ist Verhalten.

Eine Stufe höher sitzt das Front-End. Die gehostete Oberfläche ist eine angreifbare Rechtseinheit, auch wenn der Smart Contract es nicht ist: Uniswap Labs screent mit TRM Labs Adressen und entfernt Token nach rechtlichen Beanstandungen. Darüber kommt die DAO als Betreiber (Ooki), dann die DAO samt ihren Geldgebern (Lido), und ganz oben, bisher weitgehend ungetestet, die Liquidity Provider und die abstimmenden Token-Halter selbst.

Und in Deutschland? Die GbR, die niemand gegründet hat

Die amerikanische general partnership hat einen erstaunlich genauen deutschen Zwilling. Nach herrschender Meinung ist eine DAO ohne gewählte Rechtsform im deutschen Recht als Gesellschaft bürgerlichen Rechts (GbR) oder sogar als offene Handelsgesellschaft (OHG) zu qualifizieren (Gleiss Lutz, Blockchain Bundesverband). Das Tückische daran: Eine GbR entsteht nach Paragraf 705 BGB automatisch, sobald sich mehrere Personen zu einem gemeinsamen Zweck zusammenschließen. Kein Gründungsakt, keine Eintragung, kein Notar. Wer gemeinsam ein Protokoll steuert und über eine Kasse entscheidet, kann eine GbR sein, ohne es je beschlossen zu haben.

Und seit dem Gesetz zur Modernisierung des Personengesellschaftsrechts (MoPeG), das am 1. Januar 2024 in Kraft trat, ist die Haftung eindeutig geregelt. Nach Paragraf 721 BGB haften die Gesellschafter einer GbR für deren Verbindlichkeiten persönlich und als Gesamtschuldner; diese Haftung lässt sich gegenüber Dritten nicht wirksam durch eine Vereinbarung im Gesellschaftsvertrag beschränken, das Haftungsregime ist an jenes der OHG angeglichen, und neu eintretende Gesellschafter haften sogar für Altschulden (advolon). Übersetzt auf eine DAO heißt das: Jeder aktiv Beteiligte könnte im schlimmsten Fall mit seinem Privatvermögen für alle Verbindlichkeiten des Kollektivs einstehen, und die Frage, wer genau Gesellschafter ist, jeder Token-Halter, jeder, der einmal abgestimmt hat, oder nur die Gründer, ist in Deutschland so offen wie im Fall Lido.

Der entscheidende Satz der deutschen Gesellschaftsrechtler lautet nüchtern: Es gibt derzeit keine interessengerechte Rechtsform für eine DAO in Deutschland (CBH Rechtsanwälte). Zwischen der haftungsgefährlichen GbR und der schwerfälligen GmbH oder dem eingetragenen Verein liegt keine Hülle, die das offene, token-gesteuerte Wesen einer DAO sauber abbildet. Damit stehen deutsche Projekte vor einer binären Wahl: den GbR-Default hinnehmen oder eine ausländische Hülle importieren.

Die vorhandenen deutschen Formen passen aus je eigenen Gründen nicht. Der eingetragene Verein (e.V.) setzt einen nicht wirtschaftlichen Hauptzweck voraus und verträgt sich schlecht mit einem Protokoll, das Gebühren erwirtschaftet. Die GmbH oder die UG begrenzt zwar die Haftung, verlangt aber benannte Geschäftsführer und eine Gesellschafterliste, was dem offenen, token-gesteuerten Charakter einer DAO widerspricht. Die eingetragene Genossenschaft (eG) wird immer wieder als Kandidatin genannt, weil sie mitgliedergetragen und demokratisch organisiert ist, bleibt aber formell und prüfungsintensiv. Und die neue eGbR verschafft der Gesellschaft nur Registerfähigkeit, keine Haftungsbeschränkung. Es bleibt bei der Lücke, und sie ist der eigentliche Grund, warum die Debatte so schnell ins Ausland abwandert.

Der Legal Wrapper: wie man die Haftung kappt

Die Antwort der Branche heißt Legal Wrapper: eine Rechtshülle, die der DAO Rechtsfähigkeit gibt und zugleich die persönliche Haftung ihrer Mitglieder kappt. Der derzeit meistdiskutierte Vehikel ist die Wyoming DUNA (Decentralized Unincorporated Nonprofit Association), die der Bundesstaat Wyoming 2024 beschloss und die seit 1. Juli 2024 gilt: mindestens 100 Mitglieder, keine Haftung allein aufgrund der Mitgliedschaft, und On-Chain-Abstimmungen werden als verbindliche Beschlüsse anerkannt (Wyoming DAO LLC und DUNA). Den Schub bekam die DUNA vor allem von a16z crypto und dessen Policy-Chef Miles Jennings, und zwar direkt nach dem Lido-Urteil.

Jennings formuliert es als Pflicht, nicht als Option: „It is now a strategic imperative for DAOs to use legal wrappers.“ a16z spricht gleich vom Ende der Stiftungs-Ära: Stiftungen seien ein Behelf gewesen, um regulatorische Sorgen zu umgehen, inzwischen aber eine Reibungsquelle, die Kapital schlecht einsetze und kommerziell kaum handeln könne. Das prominenteste Beispiel ist Uniswap: Die Uniswap-Governance nahm im September 2025 eine Wyoming DUNA an, firmiert seither als DUNI, machte On-Chain-Beschlüsse rechtsverbindlich (nach eigener Darstellung ein Novum) und schützt die Teilnehmer vor persönlicher Haftung für kollektive DAO-Handlungen (Uniswap Foundation). Jenseits der USA dienen zwei Offshore-Hüllen als Standard: die DAO LLC der Marshallinseln und die ownerless Cayman Foundation (MIDAO).

DACH-Antworten: Schweizer Verein, Liechtensteiner Stiftung

Für Projekte im deutschsprachigen Raum liegen die praktikablen Hüllen nicht in Deutschland, sondern nebenan. Die Schweiz bietet mit dem Verein (Art. 60 bis 79 ZGB) eine zivilrechtliche Rechtspersönlichkeit, bei der die Haftung der Mitglieder auf das Vereinsvermögen beschränkt ist; der Verein ist die klassische DAO-Hülle der Region. Für reine Protokoll-Treuhand dient die Stiftung (Art. 80 bis 89 ZGB), die von einem Stiftungsrat geführt und zweckgebunden ist, nicht von Token-Haltern. Das bekannteste Beispiel steht in Zug: Die Ethereum Foundation ist eine Schweizer Stiftung. Liechtenstein ergänzt das mit der Stiftung und dem seit 2020 geltenden TVTG, dem sogenannten Blockchain-Gesetz, das Token-Strukturen ein reifes rechtliches Umfeld gibt (licentium).

Dass viele Krypto-Projekte ihre Stiftungen historisch in Zug, dem sogenannten Crypto Valley, oder in Liechtenstein ansiedelten, hat genau mit dieser Rechtssicherheit zu tun. Der Reiz der Wyoming DUNA liegt darin, dass sie zweckflexibel ist und keinen ausländischen Sitz erzwingt; ihr Nachteil ist, dass sie US-Recht ist und damit für ein deutsches Projekt eine fremde Rechtsordnung bedeutet. Ein Schweizer Verein hält die Einheit in einer krypto-erfahrenen, zivilrechtlichen Ordnung, bildet die Mitglieder-Governance aber anders ab als eine rein token-gewichtete Abstimmung. Es gibt keine perfekte Hülle, nur eine, deren Preis man kennt, und diesen Preis bewusst zu wählen, ist 2026 Teil der Compliance.

Ehrlich bleibt nur, wer den Preis nennt: Diese Hüllen begrenzen die Haftung, aber sie führen ein Zentrum wieder ein. Eine Stiftung hat einen Stiftungsrat, ein Verein einen Vorstand. Je mehr Rechtssicherheit eine DAO einkauft, desto mehr ähnelt sie der hierarchischen Einheit, die sie eigentlich abschaffen wollte, genau die Spannung, die a16z der Stiftungs-Ära vorwirft. Nach dem Lido-Verfahren werden trotzdem viele diesen Tausch eingehen. Zu beachten ist dabei, dass die Rechtsform und die Tätigkeitslizenz zwei verschiedene Dinge sind: Eine liechtensteinische oder schweizerische Hülle kappt die Haftung, befreit aber nicht von der MiCA, deren Übergangsfrist am 1. Juli 2026 endete.

Was eine Hülle nicht leistet, ist mindestens so wichtig wie das, was sie leistet. Sie kappt die persönliche Haftung der Mitglieder, verschafft aber keine regulatorische Immunität: Betreibt die DAO eine erlaubnispflichtige Tätigkeit, greifen MiCA und Geldwäscherecht unverändert weiter. Sie macht die Einheit auch nicht automatisch steuerfrei; eine DUNA oder ein Verein kann steuerpflichtig sein, und die Besteuerung von Kasse und Token bleibt eine eigene Baustelle. Vor allem führt jede Hülle ein Zentrum ein, einen Vorstand, einen Rat, einen benannten Vertreter, und Gerichte schauen am Ende auf die Substanz, nicht auf die Form. Eine Scheinhülle, hinter der weiter eine kleine Gruppe die Fäden zieht, schützt diese Gruppe nicht; sie dokumentiert nur, wer zu fragen ist.

Kein EU-Rahmen für die DAO selbst

Hier liegt die Lücke, die kein Wrapper aus Brüssel schließen kann: Die EU hat Regeln für Krypto-Tätigkeiten (MiCA) und für Geldwäsche (AMLR, TFR, die künftige AMLA), aber keine für die DAO als Rechtsperson. Die MiCA reguliert Dienstleister und Emittenten, nicht die Rechtsform des Kollektivs. Die BaFin stellt in ihrem Merkblatt zu Kryptowerte-Dienstleistungen klar, dass sie Anbieter und Emittenten beaufsichtigt, nicht das Protokoll selbst, und Erwägungsgrund 22 der MiCA nimmt vollständig dezentrale Angebote ohne Intermediär ausdrücklich aus.

Nur ist „vollständig dezentral“ genau die Kontrollfrage. In ihrer Antwort zur MiCA-Überprüfung vom 30. September 2026 schlug die ESMA einen neuen regulierten „DeFi-Zugangsdienst“ vor und warnte vor decentralisation washing, also vor Projekten, die Dezentralität behaupten, um Regeln zu entgehen, während eine Kerngruppe weiter steuert (ESMA). Das ist die europäische Fassung des FATF-Kontrolltests, und sie zieht das Netz um jene enger, die tatsächlich lenken.

Die Folge ist eine Spaltung: Die Tätigkeit wird über ihre Zugangspunkte reguliert, während die DAO als Einheit im Vakuum bleibt. Wo die MiCA schweigt, fällt die Haftungsfrage auf das nationale Recht zurück, und in Deutschland heißt dieses Recht GbR. Die Geldwäscheaufsicht kommt zwar näher, die AMLR gilt ab dem 10. Juli 2027 und die AMLA in Frankfurt übernimmt die Aufsicht über die risikoreichsten Verpflichteten, aber auch sie adressiert Verpflichtete, nicht eine führungslose Gesellschaft.

Das Paradox: der Staat zieht sich zurück, die Kläger kommen

Was 2026 anders macht als 2023, ist eine Kehrtwende der Behörde, die Ooki gewonnen hat. Am 30. Januar 2026 starteten die SEC unter Paul Atkins und die CFTC unter Michael Selig ein gemeinsames „Project Crypto“, um die Aufsicht zu harmonisieren (Jenner). Selig nannte dabei ausdrücklich nicht-verwahrende Wallets und DeFi-Protokolle als Felder, auf denen die Kommission „clear and unambiguous safe harbors for software developers“ prüfen wolle. Die CFTC erließ eine No-Action-Position für Entwickler, die unter bestimmten Bedingungen keine Registrierung verlangt (The Block). Die Ära der Regulierung durch Strafverfolgung ist, zumindest auf Bundesebene, vorbei.

Hier liegt das Paradox. Die Behörde, die bewiesen hat, dass eine DAO ein Beklagter sein kann, will den Punkt nicht mehr durchfechten. Die Haftung ist aber nicht verschwunden, sie ist gewandert: in private Hände (Samuels gegen Lido) und in die strukturelle Vorgabe (general partnership, GbR). Ein Safe Harbor schützt vor der Behörde; gegen einen Kläger oder einen Geschäftspartner, der einen als Gesellschafter in Anspruch nimmt, hilft er nichts. Dazu kommt, dass Safe Harbors Verwaltungsleitlinien sind, kein Gesetz, und von einer künftigen Regierung widerrufen werden können. DAO-Compliance wird 2026 also weniger von Aufsichtsbehörden bestimmt als vom Gesellschaftsrecht und von Zivilklägern, und genau deshalb ist die Wrapper-Frage die lebendige, nicht die Regelbuch-Frage.

In Deutschland fällt diese Verlagerung weniger wuchtig aus als in den USA, weil es keine Sammelklagen amerikanischer Prägung und keine Strafschadensersatz-Kultur gibt. Der Grundmechanismus ist aber derselbe: Ein Gläubiger, ein Geschäftspartner oder ein geschädigter Nutzer kann identifizierbare Mitglieder einer vermeintlichen GbR in Anspruch nehmen, und mit dem Verbraucherrechtedurchsetzungsgesetz gibt es seit 2023 auch ein Instrument der kollektiven Rechtsdurchsetzung. Die Behörde tritt zurück, das Zivilrecht bleibt, und das Zivilrecht kennt keine Safe Harbors.

Das Settlement-Asset als Hintertür

Selbst eine perfekt führungslose, hüllenlose DAO ist nicht unerreichbar, weil der Wert, den sie bewegt, es meist nicht ist. Die Compliance betritt DeFi durch das Settlement-Asset. Der GENIUS Act, in den USA im Juli 2025 unterzeichnet, verpflichtet die Emittenten von Zahlungs-Stablecoins, die technische Fähigkeit vorzuhalten, Token auf rechtmäßige Anordnung einzufrieren, zu beschlagnahmen oder zu verbrennen; das Regelwerk wird Anfang 2027 wirksam (S.1582). Das fertige US-Stablecoin-Regelwerk macht den Freeze zur Pflicht; die EMT-Regeln der MiCA drücken in die gleiche Richtung.

Eine DAO kann man also nicht zustellen, aber den USDC in ihren Pools kann Circle auf gerichtliche Anordnung einfrieren, den USDT entsprechend Tether. Der Freeze-Button liegt beim Emittenten, und er wirkt unabhängig davon, wie dezentral das Protokoll darüber ist. Bei einem Gesamtmarkt von rund 290 Milliarden Dollar, in dem USDT und USDC zusammen den Löwenanteil stellen (CoinGecko), ist das ein breiter Hebel. Es ist derselbe Zugang, der die Stablecoin-Schienen generell erreicht, Grund genug, warum Europas Banken an eigenen Euro-Stablecoins arbeiten, um die Kontrolle über die Schiene nicht ganz dem Dollar zu überlassen.

Auch dieser Hebel hat Grenzen. Er greift bei USDT und USDC, nicht bei bewusst einfrier-resistenten Stablecoins oder bei Werten, die niemand zentral verwahrt. Und er trifft zuweilen die Falschen: Friert ein Emittent auf Anordnung einen ganzen Smart Contract ein, hängen unbeteiligte Nutzer mit drin, deren Guthaben nur zufällig in derselben Adresse lag. Der Freeze-Button ist damit ein scharfes, aber grobes Werkzeug, kein Ersatz dafür, zu wissen, wer hinter einem Protokoll steht, und genau dorthin führt die Haftungsfrage zurück.

Wirkt das alles? Die ehrliche Bilanz

Bleibt die unbequeme Frage, ob die Drohung mit persönlicher Gesellschafterhaftung überhaupt die Richtigen trifft. Die Zahlen legen nahe, dass sie eher die Falschen abschreckt. Illegale Aktivität macht weniger als 1 Prozent des On-Chain-Volumens aus, und der größte Teil davon läuft über Stablecoins, nicht über Governance-Token (Chainalysis). Die Ooki-Betreiber führten einen bewusst unlizenzierten Handelsplatz; die Lido-Beklagten sind Wagniskapitalgeber, die ein weit verbreitetes Staking-Protokoll finanziert haben. Die Partnerschafts-Theorie unterscheidet zwischen beiden schlecht.

Peter Van Valkenburgh vom Coin Center fasst die Wirksamkeit des bestehenden Geldwäsche-Regimes in einem Satz zusammen: Es tue „remarkably little“, um illegale Finanzströme zu verhindern. Auf die DAO-Frage übertragen heißt das: Die Haftung auf jeden Abstimmenden auszuweiten, schreckt möglicherweise ehrliche Governance-Teilnahme stärker ab als Kriminalität. Der reale Effekt des Jahres 2026 ist eine Sortierung. Ernsthafte DAOs legen sich eine Hülle zu, akzeptieren ein Zentrum und kaufen Rechtssicherheit; die hüllenlosen tragen ein latentes GbR-Risiko, das ein einziger Kläger auslösen kann. Compliance wird damit zur Frage, wer eine Rechtsform gewählt hat, nicht, wer eine Regel befolgt hat.

Der stille Preis dieser Entwicklung ist ein Abschreckungseffekt an der falschen Stelle. Ein Krimineller, der einen bewusst unlizenzierten Mixer betreibt, lässt sich von Haftungsrisiken kaum beeindrucken; ein ehrlicher Entwickler oder ein kleiner Delegate, der ein offenes Protokoll mitträgt, sehr wohl. Wenn aktive Governance zum Haftungsrisiko wird, ziehen sich genau die Sorgfältigen zurück, und die Entscheidungen fallen an jene, die das Risiko ignorieren. Eine Rechtsform zu wählen, ist deshalb nicht nur Selbstschutz, sondern auch eine Bedingung dafür, dass seriöse Beteiligung an dezentraler Governance überhaupt möglich bleibt.

Was das für deutsche Nutzer, Entwickler und DAOs heißt

Aus der Rechtslage ergibt sich eine klare Rangfolge dessen, was zu tun ist, je nachdem, auf welcher Seite man steht.

• Für Teilnehmer und Voter: Governance-Teilnahme ist nicht folgenlos. Wer eine hüllenlose DAO aktiv mitsteuert, kann Gesellschafter einer GbR mit persönlicher Haftung sein; bloßes Halten eines Tokens ist risikoärmer als aktives Abstimmen, auch wenn die genaue Grenze noch unscharf ist.
• Für Entwickler und Gründer: die Hülle wählen, bevor man sie braucht. Eine DUNA, ein Schweizer Verein oder eine Stiftung kappt die Haftung; der GbR-Default ist die Falle. Und festhalten, wer worüber entscheidet, denn je unklarer die Kontrolle, desto eher greift der FATF- und ESMA-Kontrolltest trotzdem auf die Steuernden durch.
• Für Nutzer: die Struktur hinter dem Protokoll kennen. Eine umhüllte DAO ist ein Reifezeichen; eine führungslose Kasse mit echtem Geld und ohne Rechtsform ist eine Haftung, die auf ihren Kläger wartet.

Unterm Strich ist die erste DeFi-Compliance-Frage 2026 nicht „welche Regel gilt“, sondern „was seid ihr rechtlich“. Wer das beantwortet, gibt dem Rest des Regelbuchs einen Adressaten; wer es offen lässt, überlässt die Antwort einem Gericht und im Zweifel dem Paragrafen 721 BGB.

Häufige Fragen

Haftet eine DAO oder ihre Mitglieder?

Beides ist möglich. Gerichte haben eine DAO als eigene Einheit erfasst (Ooki als „Person“), zugleich können ihre aktiven Mitglieder als Gesellschafter einer Personengesellschaft persönlich haften (Fall Lido). Ohne gewählte Rechtsform trägt in Deutschland jeder aktiv Beteiligte ein Risiko der unbegrenzten persönlichen Haftung.

Ist eine DAO in Deutschland eine GbR?

Nach herrschender Meinung ja: Eine DAO ohne eigene Rechtsform wird regelmäßig als Gesellschaft bürgerlichen Rechts (GbR) oder als OHG eingeordnet, weil sie automatisch entsteht, sobald mehrere Personen einen gemeinsamen Zweck verfolgen. Seit dem MoPeG von 2024 haften die Gesellschafter dafür persönlich und als Gesamtschuldner.

Was ist ein Legal Wrapper für eine DAO?

Ein Legal Wrapper ist eine Rechtshülle, die der DAO Rechtsfähigkeit gibt und die persönliche Haftung ihrer Mitglieder begrenzt. Gängige Vehikel sind die Wyoming DUNA, die DAO LLC der Marshallinseln, die Cayman Foundation sowie im deutschsprachigen Raum der Schweizer Verein und die liechtensteinische oder schweizerische Stiftung.

Kann ich für das Abstimmen in einer DAO persönlich haften?

Das Risiko besteht. Je aktiver man eine hüllenlose DAO mitsteuert, desto eher gilt man als Gesellschafter mit persönlicher Haftung; die genaue Grenze zwischen bloßem Token-Besitz und haftungsbegründender Teilnahme ist gerichtlich noch nicht abschließend geklärt. Eine Rechtshülle oder klare Governance-Strukturen senken das Risiko.

Reguliert die MiCA DAOs?

Nein, nicht die DAO als Rechtsperson. Die MiCA reguliert Krypto-Dienstleister und Emittenten, und Erwägungsgrund 22 nimmt vollständig dezentrale Angebote aus. Die ESMA will mit einem neuen DeFi-Zugangsdienst die Zugangspunkte erfassen, doch die Haftungsform des Kollektivs selbst bleibt dem nationalen Recht überlassen.

Von Anneke de Vries, Regulierungsredakteurin bei HOGE Wire.