FATF, Krypto und Deutschland: das Amt, das nie kam

Im Juli 2026 zog die Financial Action Task Force (FATF) eine ernüchternde Bilanz. In 83 Prozent der untersuchten Länder gilt die sogenannte Travel Rule für Kryptowerte inzwischen als geltendes Recht, doch fast die Hälfte dieser Länder hat noch nie eine einzige Aufsichts- oder Sanktionsmaßnahme dazu ergriffen. Die Regeln stehen auf dem Papier; angewendet werden sie kaum. Die FATF nennt das die Durchsetzungslücke, und sie zieht sich quer durch die gesamte Krypto-Regulierung.

Deutschland ist ein Musterbeispiel für dieses Muster, und zwar auf eine unbequeme Weise. Die Bundesrepublik gehört zu den Gründungsmitgliedern der FATF, sie schreibt die globalen Regeln also mit. 2022 bekam sie von genau dieser FATF ein kritisches Zeugnis. Die Antwort der damaligen Bundesregierung war ehrgeizig: ein neues, schlagkräftiges Bundesamt zur Bekämpfung von Finanzkriminalität, mit bis zu 1.700 Stellen. Dieses Amt ist nie eröffnet worden. Statt eines neuen Schwergewichts bekommt Deutschland 2027 einen umgebauten Zoll.

Für Anleger klingt das nach Verwaltungsklein-Klein, ist es aber nicht. Bitcoin steht bei rund 66.500 Euro (CoinGecko), der Stablecoin-Markt bei über 290 Milliarden US-Dollar (CoinGecko), und die Ein- und Ausstiegspunkte in diesen Markt, die Börsen und Verwahrer, sind vollständig regulierte Unternehmen. Wer 2026 in Deutschland Krypto kauft, verkauft oder überweist, bewegt sich in einem Regelwerk, dessen Fundament die FATF gelegt hat. Wie gut dieses Fundament trägt, hängt weniger von den Regeln ab als davon, wer sie durchsetzt. Und genau da wackelt es.

Was die FATF ist und warum Deutschland zuhört

Die FATF wurde 1989 auf dem G7-Gipfel in Paris gegründet, zunächst als Antwort auf die Geldwäsche aus dem Drogenhandel. Sie ist keine Behörde, sie kann niemanden verhaften und keine Bußgelder verhängen. Was sie tut, ist Standards setzen: die 40 Empfehlungen, an denen sich rund 200 Länder und Territorien im FATF-Netzwerk orientieren. Für sich genommen ist das weiches Recht, unverbindliche Leitlinien. Die Wirkung entsteht durch zwei Hebel.

Der erste Hebel ist die gegenseitige Prüfung. In den sogenannten Mutual Evaluations schickt die FATF Prüfteams in die Mitgliedsländer und benotet, wie gut das Land seine Empfehlungen technisch umgesetzt hat und, wichtiger noch, wie wirksam es sie tatsächlich anwendet. Der zweite Hebel ist die graue und die schwarze Liste. Wer auf der schwarzen Liste landet, gilt als Hochrisiko-Land; Banken weltweit ziehen dann die Reißleine bei Zahlungen. Diese Listen sind das schärfste Instrument der FATF, und sie sind der Grund, warum auch Deutschland genau zuhört, wenn die Prüfer kommen. Ein schlechtes Zeugnis kostet keine Strafe, aber Reputation, Korrespondenzbankbeziehungen und am Ende reales Geld.

Seit 2018 hat die FATF ihre Empfehlungen konsequent auf Kryptowerte ausgeweitet. Das war die eigentliche Zeitenwende für die Branche: Aus einem regelfreien Raum wurde eine beaufsichtigte Anlageklasse, deren Dienstleister denselben Pflichten unterliegen wie eine Bank. Dieselbe Logik, die einst institutionelle Produkte wie die Krypto-ETFs erst investierbar machte, verlangt an den Ein- und Ausstiegspunkten volle Transparenz über Käufer und Verkäufer.

R.15, VASPs und die Travel Rule: die Krypto-Regeln der FATF

Der Kern der Krypto-Regulierung steckt in zwei Empfehlungen. Empfehlung 15 (R.15) wurde im Oktober 2018 so verändert, dass zwei neue Begriffe ins FATF-Glossar wanderten: der virtuelle Vermögenswert (Virtual Asset, VA) und der Dienstleister für virtuelle Vermögenswerte (Virtual Asset Service Provider, VASP). Ein VA ist eine digitale Wertdarstellung, die sich handeln oder für Zahlung und Investition übertragen lässt; Zentralbankgeld und bereits regulierte Wertpapiere sind ausdrücklich ausgenommen. Ein VASP ist ein Unternehmen, das für Dritte eine von fünf Tätigkeiten ausübt: Tausch zwischen Krypto und Fiatgeld, Tausch zwischen verschiedenen Kryptowerten, Übertragung, Verwahrung oder Finanzdienstleistungen rund um die Ausgabe von Token.

Im Juni 2019 folgte die Auslegungsnote zu R.15 samt erster risikobasierter Leitlinie, und mit ihr die Übertragung der Travel Rule auf Kryptowerte. Die Travel Rule stammt aus Empfehlung 16 und ist im klassischen Zahlungsverkehr uralt: Bei einer Überweisung müssen Angaben zu Auftraggeber und Empfänger mitreisen. Auf Krypto übertragen heißt das, dass ein VASP bei einer Transaktion Name, Adresse und Kontodaten von Sender und Empfänger erheben und an den empfangenden Dienstleister weitergeben muss. Als technischer Standard dafür hat sich IVMS 101 durchgesetzt, ein einheitliches Datenformat, damit Börse A und Verwahrer B dieselbe Sprache sprechen. Im Oktober 2021 aktualisierte die FATF ihre Leitlinien noch einmal und dehnte sie auf DeFi, NFTs, Stablecoins und Transfers auf selbstverwahrte Wallets aus.

Wichtig für das Verständnis der EU-Umsetzung: Die FATF spricht von VASPs, die europäischen Regeln von CASPs (Crypto-Asset Service Providern). Gemeint ist im Wesentlichen dasselbe, nur die Rechtsquelle unterscheidet sich. Und noch eine Unterscheidung, die in der Praxis ständig durcheinandergeht: MiCA regelt die Zulassung und Marktaufsicht der Krypto-Dienstleister, aber die Geldwäscheprävention selbst steckt nicht in MiCA. Sie steckt in einem eigenen Regelwerk, das direkt auf die FATF-Empfehlungen zurückgeht.

Das FATF-Zeugnis für Deutschland: die Prüfung 2022

Deutschland trägt ein hartnäckiges Etikett: das des Geldwäscheparadieses. Der Begriff ist überzeichnet, aber nicht aus der Luft gegriffen. Eine im Auftrag des Bundesfinanzministeriums erstellte Studie des Kriminologen Kai-D. Bussmann schätzte das jährliche Geldwäsche-Volumen in Deutschland auf mehr als 100 Milliarden Euro, wobei ein großer Teil im Nicht-Finanzsektor anfällt, etwa in Gastronomie, Immobilien und im bar-affinen Handel (Haufe). Die Zahl ist eine Dunkelfeld-Schätzung aus Befragungen und älteren Daten, kein exaktes Messergebnis, aber sie zeigt die Größenordnung des Problems.

Im August 2022 veröffentlichte die FATF ihren Prüfbericht zu Deutschland (FATF). Das Urteil war zweigeteilt. Auf der Habenseite standen erkennbare Reformen: eine nationale Risikoanalyse, bessere Koordination zwischen Bund und Ländern, mehr Personal bei der BaFin und der Financial Intelligence Unit (FIU) sowie ein neues Transparenzregister für wirtschaftlich Berechtigte. Auf der Sollseite blieben deutliche Schwächen. Die Prüfer bemängelten die Aufsicht über den Nicht-Finanzsektor, die Blindheit gegenüber komplexen Firmengeflechten und Briefkastenstrukturen sowie eine Sanktionsdurchsetzung, die nicht durchgängig wirksam war. Deutschland kam in die verschärfte Nachverfolgung (enhanced follow-up), musste also nachbessern und Bericht erstatten.

Kern der Kritik war weniger, dass Deutschland keine Regeln hatte, sondern dass es sie nicht schlagkräftig genug organisierte. Die Zuständigkeiten lagen verstreut bei Bund, Ländern und Zoll, die FIU war überlastet, Ermittlungen zogen sich. Es war eine Diagnose der Durchsetzung, nicht des Regelwerks. Genau diese Diagnose sollte die Politik zu einem großen Wurf bewegen.

Das Bundesamt, das nie kam

Im Oktober 2023 legte das Bundesfinanzministerium den Entwurf des Finanzkriminalitätsbekämpfungsgesetzes (FKBG) vor, ausdrücklich als Reaktion auf den kritischen FATF-Bericht (BMF). Das Herzstück war ein neues Bundesamt zur Bekämpfung von Finanzkriminalität (BBF), das drei Bausteine unter einem Dach bündeln sollte: ein zentrales Ermittlungszentrum für Geldwäsche, eine reformierte FIU und eine neue zentrale Aufsicht über den bisher schwach beaufsichtigten Nicht-Finanzsektor. Geplant waren bis zu 1.700 Stellen mit Standorten in Köln und Dresden. Es wäre die größte institutionelle Antwort auf ein FATF-Zeugnis in der deutschen Geschichte gewesen.

Daraus wurde nichts. Mit dem Bruch der Ampel-Koalition im November 2024 und der Auflösung des Bundestags Anfang 2025 fiel das Gesetzesvorhaben dem Grundsatz der Diskontinuität zum Opfer: Alle noch nicht verabschiedeten Entwürfe verfallen mit dem Ende der Legislaturperiode. Das FKBG war einer davon. Das BBF wurde nie gegründet. Übrig blieb ein Regelwerk, das die FATF ohnehin schon als lückenhaft durchgesetzt kritisiert hatte, und eine Institution, die es nur auf dem Papier gab.

Die Parallele zum globalen Befund ist frappierend. Was die FATF weltweit sieht, gute Regeln ohne konsequente Durchsetzung, spiegelt sich hier im Kleinen: Deutschland hatte die richtige Diagnose, verschrieb die richtige Medizin, und dann zerbrach die Regierung, bevor das Rezept eingelöst wurde. Es ist dasselbe Muster, das die HOGE-Wire-Redaktion schon bei den ETF-Zulassungen beschrieben hat: Die Zulassung, oder hier das Gesetz, ist der leichte Teil. Das Betreiben, Prüfen und Durchsetzen ist die eigentliche Arbeit.

Plan B: der Zoll übernimmt

Die neue Bundesregierung hat das Vorhaben nicht wiederbelebt, sondern umgeleitet. Statt eines eigenständigen Bundesamts stärkt sie den Zoll. Der Referentenentwurf des Zollfinanzgerechtigkeitsgesetzes (ZFG) stammt vom März 2026, das Bundeskabinett beschloss es im August 2026 (Bundesregierung). In Kraft treten soll es zum 1. Januar 2027.

Der Ansatz ist ein anderer als beim gescheiterten BBF. Die Generalzolldirektion wird in zwei Fachstränge geteilt, Zölle und Steuern auf der einen, Sicherheit und Vollzug auf der anderen Seite. Das Zollkriminalamt und die Zentralstelle für Sanktionsdurchsetzung werden in die Generalzolldirektion integriert, das Amt erhält zeitgemäße Befugnisse wie den Einsatz von künstlicher Intelligenz und die administrative Vermögensabschöpfung, also die Einziehung verdächtiger Vermögenswerte auch ohne rechtskräftiges Strafurteil (BMF). Die FIU, die schon heute im Umfeld der Generalzolldirektion sitzt, bleibt damit im Zoll-Kosmos, statt in eine neue Behörde auszuwandern.

Ob das der FATF-Kritik gerecht wird, ist offen. Für die Lösung spricht, dass sie an bestehende Strukturen andockt und schneller stehen kann als ein Amt mit 1.700 neuen Stellen. Gegen sie spricht, dass die ursprüngliche Kritik ja gerade die Zersplitterung und die schwache zentrale Steuerung betraf. Die nächste FATF-Prüfung wird zeigen, ob ein umgebauter Zoll die Lücke schließt oder nur anders verwaltet. Bis dahin gilt: Deutschland hat auf ein kritisches Zeugnis reagiert, aber langsamer und kleiner, als es 2023 versprochen hatte.

Die EU-Ebene: TFR, MiCA und der Unterschied zur Geldwäsche

Während die deutsche Institutionenreform stockte, lief die europäische Regelsetzung durch. Die FATF-Travel-Rule ist in der EU über die Geldtransferverordnung (Transfer of Funds Regulation, TFR; Verordnung (EU) 2023/1113) umgesetzt und gilt für Kryptowerte seit dem 30. Dezember 2024 (EUR-Lex). Deutschland war hier früh dran: Schon 2021 trat die nationale Kryptowertetransferverordnung in Kraft (BankingHub). Diese nationale Vorreiterrolle ist seit der direkt anwendbaren TFR obsolet, denn eine EU-Verordnung gilt unmittelbar in allen Mitgliedstaaten und schafft den Flickenteppich ab.

Der entscheidende Unterschied zur FATF-Vorgabe: Für Krypto kennt die TFR keine Bagatellgrenze. Im klassischen Zahlungsverkehr und in der FATF-Empfehlung gibt es eine Schwelle von 1.000 Euro beziehungsweise US-Dollar, unterhalb derer weniger Daten mitreisen müssen. Bei Kryptowerten fällt diese Schwelle weg: Jeder Transfer zwischen zwei CASPs muss vollständige Angaben zu Auftraggeber und Begünstigtem tragen, egal ob es um zehn Euro oder zehn Millionen geht. Für Transfers von oder zu selbstverwahrten Wallets gelten oberhalb von 1.000 Euro zusätzliche Prüfpflichten. Wer also von seiner Hardware-Wallet auf eine Börse einzahlt, muss damit rechnen, dass der Anbieter die Herkunft der Adresse verifizieren will.

Diese Trennung ist mehr als Juristerei. MiCA entscheidet, ob eine Börse überhaupt in der EU arbeiten darf, und die BaFin macht in ihrem Merkblatt zu Kryptowerte-Dienstleistungen deutlich, dass sie die Dienstleister und Emittenten beaufsichtigt, nicht das Protokoll selbst (BaFin). Die Geldwäscheprävention, also KYC, Verdachtsmeldungen und die Travel Rule, sitzt in der TFR und ab 2027 in der neuen Geldwäscheverordnung. Ein Anbieter kann MiCA-lizenziert sein und trotzdem an den AML-Pflichten scheitern. Beides muss zusammenpassen.

AMLR und AMLA: der zentrale Aufseher aus Frankfurt

Der größte Umbruch steht der EU noch bevor. Am 10. Juli 2027 wird die Anti-Money-Laundering-Regulation (AMLR; Verordnung (EU) 2024/1624) unmittelbar geltendes Recht in allen 27 Mitgliedstaaten (EUR-Lex). Sie ersetzt die bisher als Richtlinie umgesetzten und damit national unterschiedlich ausgelegten Regeln durch ein einheitliches Regelbuch. Für Krypto besonders folgenreich: Die AMLR verbietet lizenzierten Anbietern anonyme Krypto-Konten sowie den Umgang mit Anonymisierungs-Coins, den sogenannten Privacy Coins. Was heute noch bei manchen Anbietern gelistet ist, muss bis dahin verschwinden.

Die neue Geldwäschebehörde AMLA hat ihren Sitz in Frankfurt am Main, gewählt vom Rat der EU im Februar 2024 (Consilium). Sie nahm 2025 die Arbeit auf und soll ab 2028 ausgewählte grenzüberschreitende Finanzgruppen, darunter Krypto-Dienstleister mit hohem Risiko, direkt beaufsichtigen; die erste Auswahl steht 2027 an. Damit rückt die Aufsicht über die größten Anbieter erstmals auf die europäische Ebene, während BaFin und die nationalen Behörden das breite Feld weiter selbst betreuen.

Erste Vorsitzende der AMLA ist Bruna Szego, zuvor Geldwäsche-Chefin der italienischen Notenbank. Sie hat früh auf ein konkretes Risiko hingewiesen: das Ende der MiCA-Übergangsfristen. Wenn nicht lizenzierte Anbieter abgewickelt werden und Kundinnen und Kunden ihre Bestände abziehen, entsteht Druck genau dort, wo die Kontrolle greifen soll. Kundinnen und Kunden würden zum Abzug drängen, und das setze die Anbieter zusätzlich unter Druck, warnte Szego vor dem Europäischen Parlament (Cointelegraph via TradingView). Die AMLA will vor Jahresende 2026 einen Bericht zu den Geldwäscherisiken im Kryptosektor vorlegen. Für Deutschland, wo die MiCA-Übergangsfrist bereits am 1. Juli 2026 endete, ist dieser Übergang keine Theorie mehr.

BaFin 2026: 75 Sonderprüfungen und der Krypto-Fokus

Solange die AMLA erst hochfährt und ein Bundesamt fehlt, ist die BaFin die zentrale Instanz für die Geldwäscheaufsicht über deutsche Krypto-Dienstleister. Und die BaFin dreht 2026 spürbar auf. In ihrem Bericht Risiken im Fokus 2026 kündigt sie mindestens 75 Sonderprüfungen im Banken- und Nichtbankensektor an (BaFin). Zu den Schwerpunkten zählen die Kundenrisiko-Klassifizierung, der Umgang mit Hochrisiko-Ländern und ausdrücklich die Umsetzung der seit Dezember 2024 geltenden Travel Rule bei Krypto-Dienstleistern (Finanz-Szene).

Das ist ein bemerkenswerter Kontrast zur globalen Durchsetzungslücke. Während weltweit rund 60 Prozent der Länder mit Travel-Rule-Gesetz keine einzige Aufsichtsmaßnahme ergriffen haben, macht die BaFin die Travel Rule zum expliziten Prüfschwerpunkt. Deutschland gehört bei der Aufsicht also nicht zu den Nachzüglern, im Gegenteil. Die eigentliche Baustelle liegt nicht bei der BaFin, sondern bei der übergeordneten Architektur: der Koordination der vielen Zuständigkeiten, der Ermittlungskraft und der Frage, wer den Nicht-Finanzsektor kontrolliert. Genau die Baustelle, die das BBF hätte schließen sollen.

Für Krypto-Firmen bedeutet das konkret: Wer eine deutsche Lizenz hat, muss 2026 mit einer echten Prüfung rechnen, nicht nur mit einem Fragebogen. Die BaFin hat mehrfach signalisiert, dass sie festgestellte Mängel in der Geldwäscheprävention konsequent verfolgt. Compliance ist damit kein Papiertiger mehr, sondern ein Kostenfaktor, der über die Betriebserlaubnis entscheiden kann.

Die globale Durchsetzungslücke in Zahlen

Das siebte gezielte Update der FATF vom Juli 2026 liefert die Zahlen zum globalen Bild (Notabene). Die Travel Rule ist in 83 Prozent der untersuchten Länder in Kraft (91 von 109), gegenüber 73 Prozent im Vorjahr; rechnet man Länder mit Gesetzen in Arbeit hinzu, sind es 93 Prozent. Die technische Erfüllung von R.15 verbesserte sich von 29 auf 34 Prozent weitgehend erfüllt, während der Anteil der nur teilweise erfüllenden Länder von 50 auf 43 Prozent fiel. 86 Prozent der Länder haben inzwischen eine Krypto-Risikoanalyse durchgeführt, nach 76 Prozent im Vorjahr.

Der Haken liegt bei der Anwendung. Rund 60 Prozent der Länder mit Travel-Rule-Gesetz (55 von 91) haben noch keine Aufsichts- oder Sanktionsmaßnahme ergriffen. Bei DeFi ist die Lage noch dünner: Nur rund 18 Prozent der Länder haben die Risiken überhaupt bewertet, und 93 Prozent berichten, keinen einzigen DeFi-Dienst als VASP identifiziert zu haben. Immerhin verbieten inzwischen 23 Prozent der Länder bestimmte VASP-Tätigkeiten ganz, doppelt so viele wie 2023.

Hinter diesen Zahlen steckt ein praktisches Problem, das die Branche das Sunrise-Problem nennt. Solange nicht alle Länder die Travel Rule gleichzeitig und gleich streng anwenden, treffen regulierte Anbieter ständig auf Gegenparteien, die keine Daten liefern können oder wollen. Eine deutsche Börse, die vorschriftsmäßig Auftraggeber- und Empfängerdaten senden möchte, steht dann vor der Wahl, den Transfer zu einem laxer regulierten Anbieter zu blockieren oder ohne die geforderte Gegenleistung abzuwickeln. Genau diese Asymmetrie macht die Durchsetzungslücke so zäh: Sie belastet ausgerechnet jene, die sich an die Regeln halten.

Dahinter steckt eine einfache Ökonomie. Wo ein Land die Regeln nicht durchsetzt, wandert das Geschäft dorthin ab, und die Lücke des einen wird zum Einfallstor für alle. Die FATF beschreibt genau dieses Muster bei den Offshore-Dienstleistern, die sich gezielt in schwach regulierten Jurisdiktionen ansiedeln und von dort Kundschaft in aller Welt bedienen (FATF). Für die Aufsicht ist das der Kern des Problems: Ein einziges kooperationsunwilliges Land kann die Wirkung strenger Regeln anderswo aushebeln.

Stablecoins: die neue Geldwäsche-Schiene

Kaum ein Trend hat die FATF zuletzt so beschäftigt wie Stablecoins. Der Chainalysis-Krypto-Kriminalitätsbericht 2026 beziffert die von illegalen Adressen empfangenen Werte auf mindestens 154 Milliarden US-Dollar im Jahr 2025, ein Plus von 162 Prozent gegenüber dem Vorjahr; gleichzeitig bleibt der Anteil illegaler Transaktionen mit unter 1 Prozent des gesamten On-Chain-Volumens klein (Chainalysis). Entscheidend ist die Verschiebung: Stablecoins machen inzwischen rund 84 Prozent des illegalen Transaktionsvolumens aus und haben Bitcoin als bevorzugte Schiene abgelöst. Nordkoreanische Gruppen sollen 2025 rund 2 Milliarden US-Dollar gestohlen haben, der Löwenanteil über den Bybit-Hack.

Für die FATF ist das ein Problem, weil ihr VASP-Modell auf Stablecoins schlecht passt. Wert wandert von Wallet zu Wallet, oft ganz ohne Dienstleister in der Mitte. Der Sonderbericht vom März 2026 empfiehlt deshalb, die Kontrolle an den einzig verbliebenen Punkt zu verlagern, den Emittenten des Stablecoins mit seinem Einfrier-Knopf. Doch das siebte Update warnt zugleich, dass Anbieter sich nicht auf diese Einfrier-Funktion als universelle Absicherung verlassen sollten. Der Grund sind einfrier-resistente Token.

Der prominenteste Fall ist Huione aus Kambodscha. Das US-Finanzministerium erklärte die Gruppe über eine Anordnung nach Section 311 zum Geldwäsche-Hauptrisiko; die endgültige Regel trat am 17. November 2025 in Kraft, nachdem über die Plattform mehr als 4 Milliarden US-Dollar geflossen sein sollen (Federal Register). Huione lancierte einen eigenen Stablecoin, USDH, der als nicht einfrierbar vermarktet wurde, selbst auf rechtmäßige Anfrage von Ermittlern. Finanzminister Scott Bessent nannte Huione den Marktplatz der Wahl für staatliche Akteure wie Nordkorea und kriminelle Syndikate (US-Finanzministerium). Für die EU ist das ein Vorgeschmack darauf, warum die AMLR anonyme und schwer kontrollierbare Instrumente von den lizenzierten Anbietern fernhalten will.

Betrug, KI und der Blick der neuen FATF-Führung

Seit dem 1. Juli 2026 führt der Brite Giles Thomson die FATF, Direktor für Wirtschaftskriminalität und Sanktionen im britischen Finanzministerium, für eine Amtszeit bis Mitte 2028 (FATF). Er hat den Kampf gegen Betrug zur Priorität erklärt. In fast 90 Prozent der Länderprüfungen der letzten Runde war Betrug ein wesentliches Vortatdelikt, und Schätzungen zufolge gingen 2024 und 2025 fast 500 Milliarden US-Dollar durch Betrugsmaschen verloren.

Thomson zählt die kriminelle Nutzung virtueller Vermögenswerte zu den drängendsten Risiken: organisierte Betrugszentren, nordkoreanische Cyber-Diebstähle, der zunehmende Missbrauch von Stablecoins und, neu auf der Liste, künstliche Intelligenz. Kriminelle Netzwerke missbrauchten weiterhin virtuelle Vermögenswerte und nutzten ihre grenzenlose Natur aus, um Betrug zu begehen, Sanktionen zu umgehen und Erträge aus Straftaten zu waschen, so Thomson (AML Intelligence). Dass KI-Werkzeuge Betrug automatisieren und Geldwäsche verschleiern, ist dabei kein Randthema. Es trifft auf eine Welt, in der autonome Software zunehmend selbst on-chain agiert, wie die Debatte um dezentrale KI-Netze zeigt, und in der die Frage, wer für die Handlungen eines Agenten haftet, noch offen ist.

Die graue und die schwarze Liste: das schärfste Schwert

Am Ende hängt die Wirkung der FATF an ihren Listen. Nach der Plenarsitzung im Juni 2026 blieb die schwarze Liste der Hochrisiko-Länder unverändert: Iran, Nordkorea und Myanmar (US-Finanzministerium). Auf der grauen Liste, den Ländern unter verstärkter Beobachtung, standen danach 22 Jurisdiktionen; neu aufgenommen wurden der Irak und Bosnien-Herzegowina, gestrichen wurden Algerien und Namibia. Zeitgleich bestätigte das Plenum den Führungswechsel zur britischen Präsidentschaft und die indische Vizepräsidentschaft.

Deutschland steht auf keiner dieser Listen, und das soll so bleiben. Aber die Listen wirken auch auf deutsche Nutzer und Firmen. Transaktionen mit Bezug zu gelisteten Ländern lösen verschärfte Sorgfaltspflichten aus; Banken und Krypto-Dienstleister müssen dann genauer hinsehen, dokumentieren und im Zweifel ablehnen. Ein Land auf der grauen Liste zu haben, verteuert und verlangsamt jeden Zahlungsstrom dorthin. Genau deshalb ist die Drohung mit der Liste der stärkste Anreiz, den die FATF hat, und der Grund, warum selbst mächtige Mitglieder ihre Hausaufgaben ernst nehmen.

Was das für deutsche Nutzer und Firmen heißt

Für private Anleger ist die spürbarste Folge die Datenspur. Bei jeder Überweisung zwischen regulierten Anbietern reisen Name und Kontodaten von Sender und Empfänger mit, ohne Bagatellgrenze. Wer Guthaben von einer Börse auf eine selbstverwahrte Wallet abhebt oder umgekehrt einzahlt, muss oberhalb von 1.000 Euro damit rechnen, die Kontrolle über die Adresse nachzuweisen. Selbstverwahrung bleibt erlaubt, und sie hat gute Gründe, wie die wiederkehrenden Debatten um Verwahrrisiken und Vertrauen zeigen, etwa im Fall des Liquid-Hacks. Nur ist der Weg vom eigenen Schlüssel zurück in die regulierte Welt nicht mehr anonym.

In der Praxis heißt das für den Alltag: Wer sich bei einer in Deutschland zugelassenen Börse anmeldet, durchläuft eine Identitätsprüfung, und bei größeren Ein- oder Auszahlungen fragt der Anbieter nach der Herkunft der Mittel. Auffällige Muster, etwa viele kleine Transfers kurz hintereinander oder Zahlungen mit Bezug zu Hochrisiko-Ländern, können eine Verdachtsmeldung an die FIU auslösen, von der der Kunde nichts mitbekommt. Das ist kein Sonderweg der Krypto-Branche, sondern derselbe Mechanismus, den Banken seit Jahrzehnten anwenden. Neu ist nur, dass er nun lückenlos auch für Bitcoin und Stablecoins gilt.

Ab dem 10. Juli 2027 kommt mit der AMLR das Ende anonymer Krypto-Konten und der Privacy Coins bei lizenzierten Anbietern hinzu. Wer solche Token hält, sollte die Delisting-Ankündigungen der Börsen im Blick behalten. Für die Anbieter selbst steigt die Messlatte: Travel-Rule-Anschluss, IVMS-101-Datenformat, Sanktionsprüfung und ab 2028 womöglich die direkte Aufsicht durch die AMLA. Compliance wird zum harten Wettbewerbsfaktor, ganz ähnlich wie die Gebühren im ETF-Geschäft: Wer sie beherrscht, senkt Kosten und Risiko; wer nicht, verliert die Lizenz.

Die größte Enforcement-Geschichte der Branche bleibt die Warnung im Hintergrund. Der Vergleich der Börse Binance mit den US-Behörden über 4,3 Milliarden US-Dollar hat gezeigt, dass mangelhafte Geldwäscheprävention existenzbedrohend teuer werden kann, und was das für die europäische AML-Debatte bedeutet, hat HOGE Wire im Fall Binance aufgearbeitet. Deutschland hat mit der BaFin eine Aufsicht, die den Willen zur Durchsetzung erklärt hat. Was ihm fehlt, ist die schlagkräftige zentrale Architektur, die es sich 2023 selbst verordnen wollte. Ob der umgebaute Zoll ab 2027 diese Lücke schließt, ist die eigentliche offene Frage hinter allen FATF-Statistiken.

Fazit: gute Regeln, langsamer Umbau

Die FATF hat der Krypto-Welt in nur wenigen Jahren ein dichtes Regelwerk verpasst, von R.15 über die Travel Rule bis zu den Stablecoin-Empfehlungen. In Europa ist dieses Regelwerk mit TFR, MiCA und der kommenden AMLR fest verankert, und die BaFin setzt es mit einem klaren Prüfschwerpunkt durch. Die Schwachstelle liegt, wie überall, in der Institution dahinter. Deutschland hat auf die Kritik der Prüfer reagiert, aber das große eigene Amt kam nie, und der Plan B über den Zoll steht erst am Anfang. Für Anleger heißt das: Die Regeln sind da und werden strenger, die Durchsetzung wächst, aber sie holt den Anspruch erst nach und nach ein. Wer Krypto in Deutschland nutzt, sollte davon ausgehen, dass Transparenz die Norm ist und Anonymität die Ausnahme wird.

Frequently Asked Questions

Was ist die FATF Travel Rule für Krypto?

Die Travel Rule stammt aus FATF-Empfehlung 16 und wurde 2019 auf Kryptowerte ausgeweitet. Sie verpflichtet Krypto-Dienstleister, bei Transfers Angaben zu Auftraggeber und Empfänger zu erheben und an den empfangenden Anbieter weiterzugeben. In der EU ist sie über die Geldtransferverordnung (TFR) seit dem 30. Dezember 2024 in Kraft, und zwar ohne Bagatellgrenze für Kryptowerte.

Gilt die Travel Rule auch für Transfers auf eigene Wallets?

Ja, aber anders. Selbstverwahrte Wallets sind erlaubt und werden nicht verboten. Bei Transfers von oder zu solchen Wallets müssen die Anbieter oberhalb von 1.000 Euro jedoch zusätzliche Prüfungen vornehmen, etwa den Nachweis, dass die Adresse dem Kunden gehört. Reine Transfers zwischen Privatpersonen ohne Anbieter sind davon nicht direkt erfasst.

Was bedeutet die FATF-graue Liste für Deutschland?

Deutschland steht weder auf der grauen noch auf der schwarzen Liste. Die graue Liste umfasste nach der Plenarsitzung im Juni 2026 rund 22 Länder unter verstärkter Beobachtung, die schwarze Liste nur Iran, Nordkorea und Myanmar. Folgen für deutsche Firmen und Nutzer entstehen bei Transaktionen mit Bezug zu gelisteten Ländern, die verschärfte Sorgfaltspflichten auslösen.

Warum wurde das Bundesamt zur Bekämpfung von Finanzkriminalität nicht gegründet?

Das geplante Bundesamt (BBF) war Teil des Finanzkriminalitätsbekämpfungsgesetzes von 2023, einer direkten Reaktion auf den kritischen FATF-Bericht von 2022. Mit dem Bruch der Ampel-Koalition und der Auflösung des Bundestags verfiel das Vorhaben. Die neue Bundesregierung stärkt stattdessen den Zoll über das Zollfinanzgerechtigkeitsgesetz, das zum 1. Januar 2027 in Kraft treten soll.

Wer beaufsichtigt Krypto-Geldwäsche in Deutschland 2026?

National ist die BaFin zuständig; sie überwacht die Einhaltung des Geldwäschegesetzes und der Travel Rule und hat für 2026 mindestens 75 Sonderprüfungen angekündigt. Die Financial Intelligence Unit ist im Umfeld des Zolls angesiedelt. Ab 2028 soll die neue EU-Behörde AMLA mit Sitz in Frankfurt ausgewählte grenzüberschreitende Anbieter direkt beaufsichtigen.

Anneke de Vries berichtet für HOGE Wire über Krypto-Regulierung und Geldwäschebekämpfung.