{"id":299,"date":"2026-08-17T04:27:30","date_gmt":"2026-08-17T04:27:30","guid":{"rendered":"https:\/\/hoge.gg\/de\/defi-compliance-2026-wer-haftet-wenn-code-laeuft\/"},"modified":"2026-08-17T04:27:30","modified_gmt":"2026-08-17T04:27:30","slug":"defi-compliance-2026-wer-haftet-wenn-code-laeuft","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/defi-compliance-2026-wer-haftet-wenn-code-laeuft\/","title":{"rendered":"DeFi-Compliance 2026: Wer haftet, wenn nur Code l\u00e4uft?"},"content":{"rendered":"

DeFi verkauft ein einfaches Versprechen: kein Mittelsmann, keine Bank, kein Konto, nur ein Smart Contract und eine Wallet. Compliance-Recht funktioniert genau umgekehrt. Es sucht immer eine Person oder ein Unternehmen, das es adressieren, lizenzieren, \u00fcberwachen und im Zweifel bestrafen kann. Wenn ein Finanzdienst aus nichts als Code besteht, den scheinbar niemand betreibt, prallen beide Logiken aufeinander. Genau an dieser Nahtstelle entscheidet sich 2026, wer f\u00fcr ein dezentrales Protokoll geradesteht, und die Antwort f\u00e4llt selten so aus, wie der Marketing-Begriff „dezentral“ nahelegt.<\/p>

Die Frage ist l\u00e4ngst nicht mehr theoretisch. Die Europ\u00e4ische Kommission hat am 20. Mai 2026 eine gezielte MiCA-\u00dcberpr\u00fcfung gestartet, deren Konsultation am 31. August 2026 endet und die ausdr\u00fccklich fragt, ob DeFi, Staking, Lending und Prediction Markets k\u00fcnftig unter die Verordnung fallen sollen (freshfields.com<\/a>). Parallel hat die Financial Action Task Force (FATF) im Juli einen Bericht vorgelegt, der die bequeme Ausrede „Wir sind dezentral, also gilt die Regel nicht“ frontal angreift (chainalysis.com<\/a>). Und in den USA l\u00e4uft mit dem Wiederaufnahmeverfahren gegen den Tornado-Cash-Entwickler Roman Storm der Pr\u00e4zedenzfall, an dem sich die Entwicklerhaftung weltweit orientieren wird (theblock.co<\/a>). Dieser Text ordnet ein, wer bei DeFi tats\u00e4chlich haftet, welche Beh\u00f6rde welchen Regelkreis abdeckt und was das konkret f\u00fcr deutsche Nutzer, Entwickler und Frontend-Betreiber bedeutet.<\/p>

Warum Compliance immer einen Verantwortlichen sucht<\/h2>

Der Ausgangspunkt jeder Compliance-Diskussion ist unbequem f\u00fcr die DeFi-Ideologie: Regulierung kn\u00fcpft nicht an Technologie an, sondern an Kontrolle. Ein Gesetz gegen Geldw\u00e4sche verpflichtet nicht den Code, sondern denjenigen, der einen Dienst betreibt. Eine Wertpapieraufsicht adressiert nicht die Blockchain, sondern den Emittenten oder den Vermittler. Der Begriff „dezentral“ l\u00f6st diese Pflichten nicht auf, er macht den Verantwortlichen nur schwerer auffindbar. Wer Kontrolle aus\u00fcbt und daraus Nutzen zieht, bleibt im Visier, egal wie das Produkt genannt wird.<\/p>

Diese Einsicht zieht sich durch alle Rechtsordnungen, die 2026 an DeFi arbeiten. Die FATF nennt es den Kontroll-oder-Einfluss-Test. Die EU-Kommission fragt in ihrer MiCA-Konsultation nach identifizierbaren Intermedi\u00e4ren, Admin-Keys und Governance-Konzentration. Die US-Gerichte pr\u00fcfen im Fall Tornado Cash, ob jemand einen Geldtransmissionsdienst betrieben hat. Drei Beh\u00f6rden, drei Sprachen, ein Prinzip: Haftung folgt der Kontrolle und dem Profit, nicht dem Etikett. Wer das verstanden hat, kann fast jede DeFi-Compliance-Frage selbst beantworten.<\/p>

Das erkl\u00e4rt auch, warum die Zahlen so klein wirken und die Debatte trotzdem so heftig ist. Nach Marktdaten ist der in DeFi gebundene Wert (Total Value Locked) 2026 um mehr als ein Drittel gefallen, von gut 114 Milliarden US-Dollar zu Jahresbeginn auf zuletzt rund 70 Milliarden US-Dollar, also grob 60 Milliarden Euro (cryptorank.io<\/a>). Gemessen am gesamten Kryptomarkt ist das eine Nische. Doch die Prinzipienfrage, ob ein Finanzsystem ohne adressierbaren Betreiber \u00fcberhaupt reguliert werden kann, reicht weit \u00fcber die aktuelle Marktgr\u00f6\u00dfe hinaus.<\/p>

F\u00fcnf Regelkreise, f\u00fcnf Zust\u00e4ndigkeiten<\/h2>

„Compliance“ ist kein einzelner Schalter, sondern ein B\u00fcndel getrennter Pflichten, die jeweils eine andere Beh\u00f6rde und einen anderen Ausl\u00f6ser haben. Wer DeFi einordnen will, muss diese Regelkreise auseinanderhalten, sonst entstehen die typischen Missverst\u00e4ndnisse, etwa die verbreitete Gleichsetzung von Wertpapieraufsicht und Geldw\u00e4schepr\u00e4vention. Das sind zwei v\u00f6llig verschiedene Baustellen.<\/p>

Der erste Kreis ist die Geldw\u00e4schepr\u00e4vention (AML\/CFT). In der EU regelt sie k\u00fcnftig die unmittelbar geltende Geldw\u00e4scheverordnung (AMLR) samt der Geldtransfer-Verordnung (Transfer of Funds Regulation, die europ\u00e4ische Travel Rule), \u00fcberwacht von den nationalen Aufsehern und der neuen EU-Beh\u00f6rde AMLA in Frankfurt. In Deutschland kommen die BaFin und die Zentralstelle f\u00fcr Finanztransaktionsuntersuchungen (FIU) hinzu. Der zweite Kreis sind Sanktionen, in der EU \u00fcber die Listen des Rates, faktisch verst\u00e4rkt durch die extraterritoriale Reichweite des US-Sanktionsregimes (OFAC). Der dritte Kreis ist die Wertpapier- und Marktaufsicht: MiCA erfasst Kryptowerte-Dienstleister und Emittenten, w\u00e4hrend klassische Finanzinstrumente unter MiFID II fallen, beides in Deutschland bei der BaFin. Der vierte Kreis sind Derivate: Krypto-Futures und Perpetuals sind Finanzinstrumente nach MiFID II, kein MiCA-Gegenstand. Der f\u00fcnfte Kreis ist die Besteuerung, in Deutschland \u00fcber die Einkommensteuer und die Regeln zu privaten Ver\u00e4u\u00dferungsgesch\u00e4ften, zust\u00e4ndig ist das Finanzamt.<\/p>

Regelkreis<\/th>Rechtsgrundlage (EU)<\/th>Zust\u00e4ndig in Deutschland<\/th>Woran er ankn\u00fcpft<\/th><\/tr><\/thead>
Geldw\u00e4sche und Terrorfinanzierung<\/td>AMLR, TFR, AMLA<\/td>BaFin, FIU<\/td>Betreiber eines Dienstes (verpflichtete Stelle)<\/td><\/tr>
Sanktionen<\/td>EU-Sanktionslisten, mittelbar OFAC<\/td>BaFin, Bundesbank<\/td>Transaktionen mit gelisteten Adressen<\/td><\/tr>
Wertpapiere und Kryptowerte<\/td>MiCA, MiFID II<\/td>BaFin<\/td>Emittent oder Dienstleister (CASP)<\/td><\/tr>
Derivate<\/td>MiFID II<\/td>BaFin<\/td>Anbieter von Finanzinstrumenten<\/td><\/tr>
Steuern<\/td>national<\/td>Finanzamt<\/td>Ver\u00e4u\u00dferungsgewinne der Nutzer<\/td><\/tr><\/tbody><\/table><\/figure>

Wichtig ist die Botschaft hinter der Tabelle: Kein einziger dieser Kreise adressiert „die Blockchain“. Jeder sucht eine nat\u00fcrliche oder juristische Person. Solange es eine gibt, greift die jeweilige Pflicht; fehlt sie vollst\u00e4ndig, entsteht eine L\u00fccke, um die 2026 der gesamte regulatorische Streit kreist.<\/p>

MiCA reguliert Dienstleister, nicht Protokolle<\/h2>

F\u00fcr die EU ist der zentrale Text die Markets-in-Crypto-Assets-Verordnung (MiCA), die f\u00fcr Kryptowerte-Dienstleister (Crypto-Asset Service Provider, CASP) seit Ende Dezember 2024 gilt. MiCA lizenziert und beaufsichtigt Dienstleister, die Kryptowerte verwahren, tauschen, platzieren oder dar\u00fcber beraten, sowie Emittenten von Stablecoins und anderen Token. Was MiCA ausdr\u00fccklich nicht erfasst, sind vollst\u00e4ndig dezentrale Dienste ohne jeden Intermedi\u00e4r. Die BaFin bringt das in ihrem Merkblatt zu Kryptowerte-Dienstleistungen auf den Punkt: Reguliert wird die Dienstleistung, die ein identifizierbarer Anbieter erbringt, nicht das Protokoll als solches (bafin.de<\/a>).<\/p>

Das klingt nach einem Freibrief f\u00fcr DeFi, ist aber keiner. Die europ\u00e4ischen Aufsichtsbeh\u00f6rden EBA und ESMA haben in ihrem gemeinsamen Bericht nach Artikel 142 MiCA vom 16. Januar 2025 festgehalten, dass echtes DeFi bislang eine Nische ist, mit rund vier Prozent des weltweiten Kryptowerts in DeFi-Protokollen, und zugleich klargestellt, dass die Selbstbeschreibung „Wir sind DeFi“ nicht ausreicht, um MiCA zu entkommen, wenn ein identifizierbares Team oder ein beherrschender Akteur existiert (eba.europa.eu<\/a>). Genau hier liegt die Grauzone: Die meisten Protokolle, die sich dezentral nennen, haben ein Entwicklerteam, eine Stiftung, eine DAO mit bekannten Adressen oder ein Frontend, das jemand betreibt. Und sobald es diesen Jemand gibt, ist die MiCA-Freistellung in Gefahr.<\/p>

F\u00fcr deutsche Anbieter kommt ein Datum hinzu: Die verk\u00fcrzte MiCA-\u00dcbergangsfrist ist am 1. Juli 2026 ausgelaufen. Wer seither in Deutschland Kryptowerte-Dienstleistungen anbietet, braucht eine CASP-Erlaubnis oder muss den Betrieb einstellen. Ob ein DeFi-Frontend darunter f\u00e4llt, h\u00e4ngt genau an der Kontrollfrage. \u00c4hnlich hart ist die Einordnung \u00fcbrigens bei der Frage, ob ein Token ein Wertpapier oder eine blo\u00dfe Ware ist, ein Streit, der in den USA anders gef\u00fchrt wird als in der EU und den wir in unserer Analyse zu den ETF-Zulassungen und der Frage Ware oder Wertpapier<\/a> aufgeschl\u00fcsselt haben.<\/p>

Die MiCA-\u00dcberpr\u00fcfung: Br\u00fcssel entscheidet, wo die Grenze liegt<\/h2>

Die spannendste Baustelle liegt gerade offen auf dem Tisch. Am 20. Mai 2026 hat die Europ\u00e4ische Kommission eine gezielte Konsultation zur \u00dcberpr\u00fcfung von MiCA gestartet, mit 86 Fragen in vier Themenbl\u00f6cken, und die Frist f\u00fcr Stellungnahmen endet am 31. August 2026 (freshfields.com<\/a>). Zum ersten Mal fragt die EU systematisch, ob DeFi, NFTs, Staking, Lending, Prediction Markets und Krypto-Perpetuals in den Anwendungsbereich der Verordnung gezogen werden sollen, alles Bereiche, die MiCA bisher ausklammert.<\/p>

Der entscheidende Teil ist, wie Br\u00fcssel Dezentralit\u00e4t definieren will. Die Konsultation nennt konkrete Kriterien, an denen sich entscheiden k\u00f6nnte, ob eine Anwendung eben nicht vollst\u00e4ndig dezentral ist: das Vorhandensein eines identifizierbaren Intermedi\u00e4rs, die Kontrolle \u00fcber Admin-Keys, eine Konzentration der Governance-Macht, die Verwahrung von Nutzerverm\u00f6gen, nicht quelloffener Code und die Vermarktung durch eine identifizierbare Einheit. Diskutiert werden au\u00dferdem Zertifizierungssysteme f\u00fcr Protokolle, Smart Contracts und Anbieter nicht-verwahrender Wallets. Anders gesagt: Die EU sucht einen praktikablen Test, um „echtes“ von „nur behauptetem“ DeFi zu trennen, und je nachdem, wo diese Grenze gezogen wird, f\u00e4llt ein gro\u00dfer Teil der heutigen Protokolle in die Regulierung oder eben nicht.<\/p>

F\u00fcr deutsche Marktteilnehmer ist das mehr als ein Br\u00fcsseler Verfahrensdetail. Wenn die Admin-Key-Kontrolle zum Ausschlusskriterium wird, m\u00fcssen Teams entscheiden, ob sie Upgrade-Rechte abgeben und Zeitschl\u00f6sser (timelocks) einf\u00fchren, oder ob sie die Konsequenz tragen, als CASP zu gelten. Diese Weichenstellung wird die Architektur von Protokollen pr\u00e4gen, lange bevor ein finaler Gesetzestext vorliegt.<\/p>

Der FATF-Kontrolltest: dezentral ist keine Ausrede mehr<\/h2>

Global gibt die FATF die Richtung vor. Ihr am 21. Juli 2026 ver\u00f6ffentlichter Bericht „Targeted Report on Regulatory Challenges from Decentralised Finance“ f\u00fchrt einen Kontroll-oder-Einfluss-Test ein (Control or Sufficient Influence, COSI): Ein DeFi-Arrangement f\u00e4llt \u00fcberall dort in den Anwendungsbereich der Empfehlung 15, wo eine nat\u00fcrliche oder juristische Person Kontrolle oder ausreichenden Einfluss aus\u00fcbt (chainalysis.com<\/a>). Der Bericht teilt Protokolle in drei Kategorien, die den regulatorischen Umgang bestimmen.<\/p>

Kategorie<\/th>Merkmal<\/th>Regulatorische Folge<\/th><\/tr><\/thead>
1: Identifizierbare Kontrolleure<\/td>erkennbares Team, Betreiber oder Stiftung<\/td>gilt als VASP, volle AML-Pflichten<\/td><\/tr>
2: Faktisch zentral, Kontrolleure verdeckt<\/td>Steuerung vorhanden, aber verschleiert<\/td>weiter im Anwendungsbereich, Aufseher sollen die Personen identifizieren<\/td><\/tr>
3: Wirklich f\u00fchrungslos<\/td>keine Kontrolle, kein Einfluss<\/td>au\u00dferhalb der VASP-Regeln, Restrisiko-Mitigation bleibt<\/td><\/tr><\/tbody><\/table><\/figure>

Die Kontrollindikatoren sind konkret. On-Chain z\u00e4hlen dazu die Konzentration von Governance-Token, administrative Privilegien \u00fcber Smart Contracts (Upgrades, Pausen) und die Kontrolle \u00fcber Geb\u00fchren- und Treasury-Fl\u00fcsse. Off-Chain z\u00e4hlen die Kontrolle \u00fcber das Frontend, der Zugriff auf die Entwickler-Repositories und die Kommunikation \u00fcber \u00c4nderungsm\u00f6glichkeiten am Protokoll. Die Botschaft der FATF ist unmissverst\u00e4ndlich: Sich selbst dezentral zu nennen gen\u00fcgt nicht, um der Aufsicht zu entgehen.<\/p>

Bemerkenswert ist, wie wenig davon in der Praxis umgesetzt ist. Nach dem Bericht haben rund 93 Prozent der befragten Jurisdiktionen bislang kein einziges regulierungspflichtiges DeFi-Arrangement identifiziert; nur eine Handvoll L\u00e4nder hat \u00fcberhaupt Lizenzpflichten verh\u00e4ngt, und Vollzugsma\u00dfnahmen sind bisher die absolute Ausnahme. Die Regel steht also, die Durchsetzung hinkt weit hinterher, und genau diese L\u00fccke ist der Grund, warum die kommenden Jahre \u00fcber die Praxis entscheiden werden.<\/p>

Die Haftungskette: Entwickler, Frontends, DAOs<\/h2>

Wenn Kontrolle der Ma\u00dfstab ist, l\u00e4sst sich die Haftung entlang der Wertsch\u00f6pfungskette eines Protokolls sortieren. Die relevanten Pr\u00e4zedenzf\u00e4lle stammen bisher \u00fcberwiegend aus den USA, weil dort schneller vor Gericht gestritten wird; ihre Logik ist aber \u00fcbertragbar, weil auch die EU-Regeln an Kontrolle ankn\u00fcpfen.<\/p>

Akteur<\/th>Pr\u00e4zedenzfall<\/th>Haftungsgrund<\/th>Status<\/th><\/tr><\/thead>
Entwickler<\/td>U.S. v. Storm<\/td>Betrieb eines Geldtransmissionsdienstes<\/td>Verurteilung, Wiederaufnahme Okt. 2026<\/td><\/tr>
Frontend-Betreiber<\/td>Uniswap Labs \/ TRM Labs<\/td>betriebene Oberfl\u00e4che, Screening-Pflicht<\/td>g\u00e4ngige Praxis<\/td><\/tr>
DAO<\/td>CFTC v. Ooki DAO<\/td>nicht rechtsf\u00e4hige Vereinigung, Voter als Mitglieder<\/td>Vers\u00e4umnisurteil 2023<\/td><\/tr>
Liquidity Provider, Relayer<\/td>weitgehend ungetestet<\/td>unklar<\/td>offen<\/td><\/tr><\/tbody><\/table><\/figure>

Der Fall Ooki DAO ist dabei der sch\u00e4rfste Warnschuss. Am 9. Juni 2023 erging ein Vers\u00e4umnisurteil, in dem die US-Derivateaufsicht CFTC die DAO als nicht rechtsf\u00e4hige Vereinigung und als „Person“ im Sinne des Commodity Exchange Act einstufte, die Governance-Token-Inhaber als Mitglieder behandelte, eine Geldstrafe von rund 643.000 US-Dollar (etwa 556.000 Euro) verh\u00e4ngte und die Abschaltung der Website anordnete (cftc.gov<\/a>). Die Botschaft an Token-Inhaber ist deutlich: Wer \u00fcber ein Protokoll abstimmt, kann als Mitverantwortlicher gelten. Die durchgehende Linie \u00fcber alle vier Zeilen lautet, dass die Haftung der Kontrolle und dem Profit folgt, nicht dem Label DeFi.<\/p>

Tornado Cash: der Wendepunkt f\u00fcr die Entwicklerhaftung<\/h2>

Kein Fall hat die Debatte so gepr\u00e4gt wie Tornado Cash, und er zeigt beide Seiten der Medaille. Zun\u00e4chst die gute Nachricht f\u00fcr Entwickler: Im Verfahren Van Loon gegen das US-Finanzministerium entschied das Berufungsgericht des Fifth Circuit am 26. November 2024, dass unver\u00e4nderliche Smart Contracts kein „Eigentum“ im Sinne des Sanktionsrechts (IEEPA) sind, weil niemand sie besitzt, kontrolliert oder ausschlie\u00dfen kann, und deshalb nicht sanktioniert werden k\u00f6nnen. In der Folge nahm die US-Sanktionsbeh\u00f6rde OFAC Tornado Cash am 21. M\u00e4rz 2025 von der Sanktionsliste (coindesk.com<\/a>). Code allein, so die Lehre, ist unantastbar.<\/p>

Die andere Seite betrifft das Betreiben eines Dienstes rund um den Code. Der Mitentwickler Roman Storm wurde im August 2025 wegen des Betriebs eines nicht lizenzierten Geldtransmissionsgesch\u00e4fts verurteilt; bei den Vorw\u00fcrfen der Geldw\u00e4sche und des Sanktionsversto\u00dfes konnte sich die Jury nicht einigen. Die Staatsanwaltschaft strebt eine Wiederaufnahme an, die nach aktuellem Stand am 5. oder 12. Oktober 2026 vor Richterin Katherine Polk Failla beginnen soll und etwa drei Wochen dauern d\u00fcrfte; Storm drohen bei einer Verurteilung in beiden verbleibenden Anklagepunkten bis zu 40 Jahre Haft (theblock.co<\/a>). Der Unterschied zwischen unantastbarem Code und strafbarem Dienstbetrieb ist damit der schmale Grat, auf dem sich die gesamte Entwicklerhaftung bewegt.<\/p>

Wie diese Grenze zu ziehen ist, hat ein hochrangiger Vertreter des US-Justizministeriums bemerkenswert klar formuliert. Matthew Galeotti, damals kommissarischer stellvertretender Generalstaatsanwalt der Kriminalabteilung, sagte im August 2025: „Nach unserer Auffassung ist das blo\u00dfe Schreiben von Code ohne b\u00f6se Absicht kein Verbrechen.“ (coindesk.com<\/a>). Der Satz markiert die Trennlinie: Die reine Publikation von Software ist gesch\u00fctzt, das Betreiben einer Oberfl\u00e4che, eines Relayers oder einer Geb\u00fchrenstruktur um diese Software herum ist Verhalten, und Verhalten kann strafbar sein.<\/p>

Das Frontend als Nadel\u00f6hr<\/h2>

In der Praxis l\u00e4uft die Durchsetzung fast immer \u00fcber das Frontend, nicht \u00fcber den Vertrag. Ein Smart Contract l\u00e4sst sich nicht ohne Weiteres zensieren; eine gehostete Website dagegen ist eine juristische Einheit mit Servern, einem Betreiber und einer Adresse. Genau deshalb ist die Oberfl\u00e4che das eigentliche Nadel\u00f6hr der DeFi-Compliance. Uniswap Labs zeigt das Muster: In Zusammenarbeit mit der Analysefirma TRM Labs screent das Unternehmen Adressen auf OFAC-Sanktionslisten sowie auf Verbindungen zu illegalen Aktivit\u00e4ten wie gestohlenen Geldern, Ransomware oder Terrorfinanzierung und sperrt betroffene Wallets auf Frontend-Ebene (blog.uniswap.org<\/a>). Wichtig ist das Detail: Eine gesperrte Adresse kann weiterhin Verm\u00f6gen halten und empfangen, aber die Oberfl\u00e4che deaktiviert jede zustandsver\u00e4ndernde Aktion, also Tausch oder Liquidit\u00e4tsbereitstellung. Der zugrunde liegende Vertrag bleibt offen, nur der bequeme Zugang \u00fcber die offizielle Seite wird gekappt.<\/p>

Das erkl\u00e4rt, warum nach den Tornado-Cash-Sanktionen 2022 mehrere gro\u00dfe Protokolle innerhalb von Tagen markierte Adressen von ihren Oberfl\u00e4chen aussperrten, w\u00e4hrend die Vertr\u00e4ge unver\u00e4ndert weiterliefen. F\u00fcr deutsche Betreiber ist die Konsequenz unmittelbar: Ein in Deutschland gehostetes DeFi-Frontend ist mit hoher Wahrscheinlichkeit ein CASP nach MiCA und eine verpflichtete Stelle nach der Geldw\u00e4scheverordnung, mit allen Pflichten zu Screening, Geoblocking, Identifizierung und Meldewesen. Wer diese Kontrolle nicht will, kann den Weg der Selbstverwahrung und der direkten Vertragsinteraktion gehen, technisch anspruchsvoller, aber ohne die zwischengeschaltete Oberfl\u00e4che; wie das im Detail und mit welchen Kompromissen funktioniert, zeigt unser Leitfaden zum Ethereum Solo Staking nach Fusaka und Pectra<\/a>.<\/p>

Der Geldw\u00e4sche-Rahmen der EU: AMLR, AMLA und die Travel Rule<\/h2>

Parallel zu MiCA baut die EU ihren Geldw\u00e4scherahmen komplett um, und dieser Umbau trifft DeFi \u00fcber die Frontends und Dienstleister. Kern ist die Geldw\u00e4scheverordnung (AMLR), die anders als die fr\u00fcheren Richtlinien unmittelbar in allen Mitgliedstaaten gilt und deren zentrale Pflichten ab dem 1. Juli 2027 greifen. Sie ersetzt den bisherigen Flickenteppich nationaler Umsetzungen durch ein einheitliches Regelwerk und wird von der neuen Anti-Geldw\u00e4sche-Beh\u00f6rde AMLA mit Sitz in Frankfurt am Main flankiert.<\/p>

F\u00fcr Kryptowerte besonders relevant sind zwei Elemente. Erstens die Geldtransfer-Verordnung (Transfer of Funds Regulation), die europ\u00e4ische Fassung der Travel Rule: CASPs m\u00fcssen bei Krypto-Transfers Angaben zu Sender und Empf\u00e4nger erheben und weitergeben, und Transfers zu oder von selbstverwahrten Wallets \u00fcber 1.000 Euro l\u00f6sen versch\u00e4rfte Sorgfaltspflichten aus. Zweitens das grunds\u00e4tzliche Verbot anonymer Konten und der Bereitstellung von Anonymit\u00e4ts-Coins durch verpflichtete Stellen. Beides zielt nicht auf das Protokoll, sondern auf die Dienstleister an dessen R\u00e4ndern. Die entscheidende juristische Frage lautet damit auch in der EU: Ist das Frontend, der Relayer oder der Betreiber eine verpflichtete Stelle? Wenn ja, greift der volle AML-Apparat; wenn nein, bleibt nur der schwer zu fassende Rest.<\/p>

Konkret hei\u00dft das f\u00fcr den deutschen Markt: Eine B\u00f6rse oder ein Frontend, das Ein- und Auszahlungen in Euro erm\u00f6glicht, muss k\u00fcnftig unter der AMLR dieselben Sorgfaltspflichten erf\u00fcllen wie eine Bank, von der Identifizierung der Kundschaft \u00fcber die laufende \u00dcberwachung bis zur Verdachtsmeldung an die FIU. Die AMLA in Frankfurt wird zudem ausgew\u00e4hlte, grenz\u00fcberschreitend t\u00e4tige Anbieter direkt beaufsichtigen. F\u00fcr rein dezentrale Protokolle ohne verpflichtete Stelle bleibt formal eine L\u00fccke, doch sobald ein Nutzer den regulierten Rand ber\u00fchrt, um Kryptowerte in Euro zu tauschen, greift der volle Apparat. Anonymit\u00e4t endet sp\u00e4testens an der Kasse.<\/p>

Zwei Pole: erlaubnispflichtige DeFi und Privacy Pools<\/h2>

Die Branche reagiert auf diesen Druck mit zwei gegens\u00e4tzlichen Architekturen. Am einen Pol steht erlaubnispflichtiges DeFi, also Compliance per Whitelist. Aave Arc f\u00fchrte dieses Modell mit einem Whitelister (Fireblocks) ein, der nur KYC-gepr\u00fcfte Institutionen zul\u00e4sst. Der 2025 gestartete Nachfolger Aave Horizon kombiniert erlaubnispflichtige Sicherheiten aus tokenisierten Realwerten mit erlaubnisfreier Stablecoin-Liquidit\u00e4t und hat nach Projektangaben Einlagen im mittleren dreistelligen Millionenbereich angezogen. Anbieter wie Maple, Clearpool und Centrifuge verfolgen \u00e4hnliche Ans\u00e4tze. In der Szene hei\u00dft dieses Muster „DeFi-Mullet“: vorne eine regulierte Fintech-Oberfl\u00e4che, hinten eine DeFi-Mechanik.<\/p>

Am anderen Pol steht der Versuch, Compliance ohne \u00dcberwachung zu erm\u00f6glichen. Privacy Pools, am 31. M\u00e4rz 2025 auf dem Ethereum-Mainnet gestartet und von der Firma 0xbow entwickelt, setzen ein Konzept aus einem 2023 mitverfassten Forschungspapier von Vitalik Buterin um (theblock.co<\/a>). Nutzer weisen per Zero-Knowledge-Beweis nach, dass ihre Mittel aus einer Association Set stammen, die illegale Quellen ausschlie\u00dft, ohne ihre Identit\u00e4t preiszugeben; die Sets sind dynamisch, sodass eine sp\u00e4ter als illegal erkannte Einzahlung entfernt werden kann, ohne die \u00fcbrigen zu st\u00f6ren. Buterin selbst geh\u00f6rte zu den ersten Einzahlern. Der Ansatz ist elegant, wirft aber offene Fragen auf: Wer kuratiert die Association Set, und ist ein „konformer Mixer“ nicht doch wieder ein Geldtransmissionsdienst, mit genau dem Haftungsrisiko, das der Fall Storm sichtbar gemacht hat? Zwischen diesen beiden Polen wird sich entscheiden, ob DeFi-Compliance eher zu Erlaubnisinseln oder zu kryptografischer Nachweisbarkeit tendiert.<\/p>

Der Stablecoin als stille Hintert\u00fcr der Compliance<\/h2>

Es gibt einen Weg, auf dem Compliance in DeFi eindringt, ganz ohne dass ein Protokoll reguliert werden m\u00fcsste: \u00fcber den Verm\u00f6genswert, mit dem abgerechnet wird. Der Gro\u00dfteil der DeFi-Aktivit\u00e4t l\u00e4uft \u00fcber Stablecoins, und die sind l\u00e4ngst reguliert. In der EU erfasst MiCA sie als E-Geld-Token (EMT) und wertreferenzierte Token (ART) und stellt strenge Anforderungen an Reserven, R\u00fccktauschrechte und die Zulassung der Emittenten; besonders gro\u00dfe, weit verbreitete Stablecoins unterliegen zus\u00e4tzlicher Aufsicht. In den USA verlangt der GENIUS Act, dass Emittenten von Zahlungs-Stablecoins Guthaben auf rechtm\u00e4\u00dfige Anordnung einfrieren, beschlagnahmen oder vernichten k\u00f6nnen.<\/p>

Die Konsequenz ist unbequem f\u00fcr die reine DeFi-Lehre: Selbst wenn ein Protokoll vollst\u00e4ndig dezentral und praktisch unregulierbar w\u00e4re, ist der Dollar oder Euro, der durch seine Pools flie\u00dft, es nicht. Ein Emittent kann eine Adresse auf eine Sperrliste setzen, und die betroffenen Token sind sofort eingefroren, egal in welchem Smart Contract sie gerade liegen. Genau das geschieht in der Praxis bereits regelm\u00e4\u00dfig; die gro\u00dfen Stablecoin-Emittenten f\u00fchren Sperrlisten und frieren Adressen ein, meist auf Anordnung von Strafverfolgungsbeh\u00f6rden. Damit sitzt die sch\u00e4rfste Durchsetzungsm\u00f6glichkeit nicht beim Protokoll und nicht einmal beim Frontend, sondern beim Emittenten des Abwicklungs-Verm\u00f6genswerts.<\/p>

F\u00fcr die Compliance-Architektur hei\u00dft das: Wer wirklich zensurresistent bleiben will, muss auch beim Geld auf dezentrale Alternativen ausweichen, etwa \u00fcberbesicherte, nicht einfrierbare Stablecoins oder native Kryptowerte. Das bringt jedoch neue Risiken bei Stabilit\u00e4t, Liquidit\u00e4t und Kapitaleffizienz und schrumpft den nutzbaren Markt erheblich. Die meisten Nutzer und Protokolle greifen deshalb zu den regulierten Stablecoins und akzeptieren damit stillschweigend eine Compliance-Ebene, die sie an anderer Stelle ablehnen. Der Abwicklungs-Verm\u00f6genswert ist so zur leisesten, aber wirksamsten Hintert\u00fcr der DeFi-Regulierung geworden, und keine noch so elegante Protokoll-Dezentralisierung \u00e4ndert daran etwas.<\/p>

Die USA gehen einen anderen Weg: SEC, GENIUS und CLARITY<\/h2>

Der Kontrast zwischen EU und USA ist 2026 gro\u00df, und f\u00fcr die globale Praxis z\u00e4hlt beides. Die US-B\u00f6rsenaufsicht SEC hat unter Vorsitzendem Paul Atkins einen scharfen Kurswechsel vollzogen, weg von der Regulierung durch Strafverfolgung hin zu einem Programm namens „Project Crypto“ mit einer geplanten Innovationsausnahme, einer Art bedingtem Safe Harbor. Atkins hat die dahinterliegende Haltung bei einer Roundtable-Veranstaltung am 9. Juni 2025 mit dem Titel „DeFi and the American Spirit“ auf den Punkt gebracht: „Das Recht auf Selbstverwahrung des eigenen Eigentums ist ein grundlegender amerikanischer Wert, der nicht verschwinden sollte, sobald man online geht.“ (theblock.co<\/a>). Warum aus dieser angek\u00fcndigten Ausnahme bis heute kein fertiges Regelwerk geworden ist, haben wir in unserer Analyse dazu beschrieben, wie die SEC den Safe Harbor vertagt und Enforcement vorerst das Regelwerk bleibt<\/a>.<\/p>

Auf der Gesetzgebungsseite laufen zwei Vorhaben. Der GENIUS Act, am 18. Juli 2025 unterzeichnet, regelt Zahlungs-Stablecoins, deren Gesamtmarkt zuletzt bei rund 287 Milliarden US-Dollar (etwa 248 Milliarden Euro) lag (coingecko.com<\/a>), verlangt vollst\u00e4ndig liquide Reserven, unterwirft die Emittenten den Geldw\u00e4scheregeln und schreibt vor, dass ein Emittent Guthaben auf rechtm\u00e4\u00dfige Anordnung einfrieren, beschlagnahmen oder vernichten k\u00f6nnen muss (whitehouse.gov<\/a>). Damit dringt Compliance \u00fcber den Abwicklungs-Verm\u00f6genswert selbst in DeFi ein: Wer einen regulierten Stablecoin nutzt, nutzt ein Instrument mit eingebautem Not-Aus. Der CLARITY Act soll die Marktstruktur kl\u00e4ren und die Zust\u00e4ndigkeiten zwischen SEC und CFTC aufteilen; er passierte 2025 das Repr\u00e4sentantenhaus, doch im Senat ist ein prozeduraler Cloture-Vote f\u00fcr den 15. September 2026 angesetzt, f\u00fcr den bei 53 republikanischen Sitzen mindestens sieben Stimmen aus dem anderen Lager n\u00f6tig sind, und ausgerechnet DeFi ist einer der Streitpunkte (coindesk.com<\/a>). Am Rande sei erw\u00e4hnt, dass die USA die IRS-Broker-Regel f\u00fcr DeFi-Frontends im April 2025 wieder kassiert haben, sodass dort, anders als bei verwahrenden B\u00f6rsen, keine Formular-Meldepflicht f\u00fcr Oberfl\u00e4chen besteht.<\/p>

Das Compliance-Werkzeug und seine Grenzen<\/h2>

Zwischen Prinzip und Praxis steht das Werkzeug. Drei Kategorien pr\u00e4gen die operative DeFi-Compliance. Erstens die Blockchain-Analyse von Anbietern wie Chainalysis, Elliptic und TRM Labs, die Adressen Risikoscores zuweist; wichtig ist, dass diese Analyse probabilistisch ist, also Wahrscheinlichkeiten liefert, keine Beweise. Zweitens On-Chain-Attestierungen und zk-KYC, mit denen sich eine Eigenschaft (etwa \u00fcber 18 Jahre alt, nicht sanktioniert, gepr\u00fcft) nachweisen l\u00e4sst, ohne die zugrunde liegenden Dokumente offenzulegen. Drittens die Travel-Rule-Infrastruktur, \u00fcber die Dienstleister die geforderten Sender- und Empf\u00e4ngerdaten austauschen.<\/p>

Ob dieser Apparat sein Ziel erreicht, ist umstritten, und der Einwand kommt nicht nur aus der Krypto-Szene. Peter Van Valkenburgh, Executive Director des Thinktanks Coin Center, verweist darauf, dass die Vereinten Nationen sch\u00e4tzen, dass nur etwa 0,2 Prozent der durch das Finanzsystem flie\u00dfenden kriminellen Gelder tats\u00e4chlich beschlagnahmt oder eingefroren werden, w\u00e4hrend die globalen Compliance-Kosten in die Hunderte Milliarden US-Dollar pro Jahr gehen (coincenter.org<\/a>). Sein Punkt: Ein System, das enorme Datenmengen und Kosten produziert, aber kaum Kriminalit\u00e4t verhindert, sollte sich fragen lassen, ob mehr desselben die richtige Antwort ist. F\u00fcr DeFi bedeutet das eine doppelte Belastung: Es soll Pflichten erf\u00fcllen, deren Wirksamkeit selbst im traditionellen Finanzwesen fraglich ist. Dass der Anteil illegaler Aktivit\u00e4t am gesamten On-Chain-Volumen nach den meisten Erhebungen weiterhin deutlich unter einem Prozent liegt, versch\u00e4rft dieses Missverh\u00e4ltnis eher, als es zu entsch\u00e4rfen.<\/p>

Was das f\u00fcr deutsche Nutzer, Entwickler und Frontends bedeutet<\/h2>

Am Ende z\u00e4hlt die praktische Einordnung, und sie f\u00e4llt f\u00fcr jede Rolle anders aus. F\u00fcr Nutzer gilt: Die Selbstverwahrung von Kryptowerten und die Interaktion mit einem erlaubnisfreien Protokoll sind in Deutschland nicht per se verboten. Die eigentlichen Pflichten entstehen an den R\u00e4ndern, n\u00e4mlich steuerlich bei Ver\u00e4u\u00dferungsgewinnen und geldw\u00e4scherechtlich beim Ein- und Auszahlen \u00fcber einen regulierten Dienstleister, an dem Mittel aus illegalen Quellen eingefroren werden k\u00f6nnen. Wer glaubt, DeFi mache ihn unsichtbar, verwechselt Pseudonymit\u00e4t mit Anonymit\u00e4t.<\/p>

F\u00fcr Entwickler gilt die Galeotti-Linie: Das Schreiben und Ver\u00f6ffentlichen von Code ohne b\u00f6se Absicht ist gesch\u00fctzt. Sobald jedoch eine Oberfl\u00e4che betrieben, ein Relayer unterhalten, eine Geb\u00fchr vereinnahmt oder die Governance faktisch gesteuert wird, entsteht Verhalten, das als CASP-pflichtige Dienstleistung oder als Geldtransmission gewertet werden kann. F\u00fcr Frontend-Betreiber ist die Lage am klarsten: Eine gehostete, auf deutsche Nutzer ausgerichtete Oberfl\u00e4che ist mit hoher Wahrscheinlichkeit ein CASP und eine verpflichtete Stelle, mit Screening, Geoblocking, Identifizierung und Travel-Rule-Pflichten. Und f\u00fcr DAO-Teilnehmer bleibt die Ooki-Lehre: Aktive Governance kann Mitverantwortung begr\u00fcnden. Die regulatorische Landschaft rund um Staking und andere ertragsbringende On-Chain-Aktivit\u00e4ten verschiebt sich dabei weiter, auch \u00fcber regulierte Produkte; wie diese zweite Welle aus Staking und Altcoins die Aufsicht besch\u00e4ftigt, ordnet unsere \u00dcbersicht zu den Krypto-ETFs 2026 und der zweiten Welle<\/a> ein.<\/p>

Die Kernfrage bleibt \u00fcber alle Rollen hinweg dieselbe. Nicht ob etwas dezentral ist, sondern ob jemand Kontrolle aus\u00fcbt und daraus Nutzen zieht. Wer diese Frage f\u00fcr ein konkretes Protokoll ehrlich beantwortet, wei\u00df auch, ob und wo die Regel greift, ganz gleich, was auf der Startseite steht.<\/p>

Frequently Asked Questions<\/h2>

Ist die Nutzung von DeFi in Deutschland legal?<\/h3>

Ja. Die Selbstverwahrung von Kryptowerten und die Interaktion mit erlaubnisfreien Protokollen sind nicht verboten. Pflichten entstehen an den R\u00e4ndern: Gewinne aus Ver\u00e4u\u00dferungen sind steuerpflichtig, und beim Ein- oder Auszahlen \u00fcber einen regulierten Dienstleister greifen dessen Geldw\u00e4sche- und Identifizierungspflichten. Wer DeFi nutzt, sollte seine Transaktionen sauber dokumentieren.<\/p>

F\u00e4llt DeFi unter MiCA?<\/h3>

Vollst\u00e4ndig dezentrale Protokolle ohne identifizierbaren Betreiber fallen derzeit nicht unter MiCA, das Kryptowerte-Dienstleister und Emittenten reguliert. Sobald es aber ein Frontend, ein steuerndes Team oder eine beherrschende Governance gibt, kann eine CASP-Pflicht entstehen. Die laufende MiCA-\u00dcberpr\u00fcfung, deren Konsultation am 31. August 2026 endet, k\u00f6nnte die Grenze neu ziehen.<\/p>

Kann ich als Entwickler f\u00fcr einen Smart Contract haftbar gemacht werden?<\/h3>

Das blo\u00dfe Schreiben und Ver\u00f6ffentlichen von Code ohne b\u00f6se Absicht ist nach der im Fall Tornado Cash formulierten Linie gesch\u00fctzt. Haftung entsteht durch das Betreiben eines Dienstes rund um den Code, also durch eine Oberfl\u00e4che, einen Relayer, Geb\u00fchren oder faktische Kontrolle. Der Fall Roman Storm, dessen Wiederaufnahme f\u00fcr Oktober 2026 angesetzt ist, ist hierf\u00fcr der ma\u00dfgebliche Pr\u00e4zedenzfall.<\/p>

Was ist die Travel Rule und gilt sie f\u00fcr DeFi?<\/h3>

Die Travel Rule verpflichtet Kryptowerte-Dienstleister, bei Transfers Angaben zu Sender und Empf\u00e4nger zu erheben und weiterzugeben; in der EU regelt das die Geldtransfer-Verordnung. Transfers zu oder von selbstverwahrten Wallets \u00fcber 1.000 Euro l\u00f6sen versch\u00e4rfte Sorgfaltspflichten aus. Ein autonomes Protokoll ist nicht direkt betroffen, ein betriebenes Frontend als verpflichtete Stelle aber sehr wohl.<\/p>

Was sind Privacy Pools und sind sie legal?<\/h3>

Privacy Pools sind ein Werkzeug, mit dem Nutzer per Zero-Knowledge-Beweis nachweisen, dass ihre Mittel nicht aus illegalen Quellen stammen, ohne ihre Identit\u00e4t offenzulegen. Sie zielen auf Privatsph\u00e4re bei gleichzeitiger Regelkonformit\u00e4t. Ihr rechtlicher Status ist noch nicht abschlie\u00dfend gekl\u00e4rt, insbesondere die Frage, ob der Betrieb eines solchen Systems als Geldtransmission gilt.<\/p>