{"id":729,"date":"2026-10-08T04:20:06","date_gmt":"2026-10-08T04:20:06","guid":{"rendered":"https:\/\/hoge.gg\/de\/defi-compliance-2026-kosten-nutzen-bilanz\/"},"modified":"2026-10-08T04:20:06","modified_gmt":"2026-10-08T04:20:06","slug":"defi-compliance-2026-kosten-nutzen-bilanz","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/defi-compliance-2026-kosten-nutzen-bilanz\/","title":{"rendered":"DeFi-Compliance 2026: Was sie kostet und ob sie wirkt"},"content":{"rendered":"

Am 30. September 2026 ist in Br\u00fcssel ein Fenster zugefallen. Die Europ\u00e4ische Kommission hat ihre gezielte Konsultation zur \u00dcberarbeitung von MiCA geschlossen, 86 Fragen, ein eigener Abschnitt zu DeFi, Staking und Lending. ESMA und EBA haben ihre Stellungnahmen eingereicht, die Debatte \u00fcber ein m\u00f6gliches MiCA-2 l\u00e4uft, und die Pflichtberichte an Parlament und Rat sollen bis zum 30. Juni 2027 folgen. Doch w\u00e4hrend Aufseher, Verb\u00e4nde und Lobbyisten um die n\u00e4chste Regelschicht ringen, bleibt eine Frage auff\u00e4llig unbeantwortet: Funktioniert das alles eigentlich?<\/p>

Seit mehr als einem Jahrzehnt wird Compliance in die dezentrale Finanzwelt hineinkonstruiert, mal per Gerichtsurteil, mal per Gesetz, mal per stillem Druck auf eine Weboberfl\u00e4che. Bitcoin notiert an diesem 8. Oktober bei rund 74.000 Euro<\/a>, der DeFi-Markt bindet nach einem Einbruch von etwa 39 Prozent im Jahresverlauf wieder \u00fcber 90 Milliarden US-Dollar<\/a>, und Stablecoins summieren sich auf rund 293 Milliarden Dollar<\/a>. Das ist genug Masse, um eine ehrliche Frage zu stellen, die im Regulierungsbetrieb selten jemand laut ausspricht.<\/p>

Dieser Text zieht die Bilanz. Nicht, wer haftet, wenn nur Code l\u00e4uft, und nicht, wie man ein regelkonformes Protokoll baut, sondern die h\u00e4rtere Frage: Was kostet DeFi-Compliance, was bringt sie, und an welcher Stelle versagt sie messbar? Die Antwort ist unbequemer, als es beide Lager gern h\u00e4tten.<\/p>

Warum die Kosten-Nutzen-Frage gerade jetzt dran ist<\/h2>

Lange war DeFi-Compliance ein theoretisches Problem. Die Protokolle waren klein, die Aufseher z\u00f6gerten, und der Streit drehte sich um Grundsatzfragen: Ist Code Meinungs\u00e4u\u00dferung? Kann ein Smart Contract Geldw\u00e4sche begehen? Diese Phase ist vorbei. 2026 steht ein Regelwerk, das reif genug ist, um gepr\u00fcft zu werden, nicht mehr nur diskutiert. In der EU greifen MiCA, die Geldw\u00e4scheverordnung AMLR, die Transferverordnung und DORA ineinander; in den USA liefern GENIUS Act, SEC-Vorst\u00f6\u00dfe und eine Serie von Strafprozessen die Bausteine. Die Werkzeuge sind da. Es fehlt die Abrechnung.<\/p>

Der j\u00fcngste Schritt zeigt, wohin die Reise geht. Statt den Code selbst zu regulieren, zielt die EU auf die Zugangspunkte: Weboberfl\u00e4chen, Wallets, Aggregatoren, Fiat-Rampen. Wir haben diesen Ansatz an anderer Stelle ausf\u00fchrlich beschrieben, als die EU die T\u00fcr regulierte, nicht den Code<\/a>. F\u00fcr eine Bilanz ist das die entscheidende Verschiebung: Wenn die Regel nicht mehr das Protokoll trifft, sondern die T\u00fcr davor, \u00e4ndert sich auch die Rechnung, wer die Kosten tr\u00e4gt und wer von au\u00dfen \u00fcberhaupt erreichbar bleibt.<\/p>

Hinzu kommt ein n\u00fcchterner Grund, ausgerechnet jetzt zu bilanzieren: Es liegen endlich belastbare Zahlen vor. Die FATF hat 2026 ihren ersten DeFi-Bericht vorgelegt, Chainalysis seinen Jahresbericht zur Kryptokriminalit\u00e4t, und ein paar unabh\u00e4ngige \u00d6konomen haben nachgerechnet, was das klassische Geldw\u00e4scheregime \u00fcber alle Branchen hinweg kostet und bringt. Erst damit l\u00e4sst sich die Frage vom Bauchgef\u00fchl l\u00f6sen.<\/p>

Was unter DeFi-Compliance \u00fcberhaupt f\u00e4llt<\/h2>

Bevor man etwas bewertet, muss man es abgrenzen. „DeFi-Compliance“ ist kein einzelnes Gesetz, sondern ein B\u00fcndel von f\u00fcnf Regelkreisen, die sich teils \u00fcberlappen, teils widersprechen. Wichtig f\u00fcr deutsche Leser: MiCA und die BaFin regulieren Dienstleister und Emittenten, nicht autonome Protokolle. Die Auslegungshilfe der BaFin zu Kryptowerte-Dienstleistungen<\/a> stellt genau das klar: Erfasst wird, wer eine Dienstleistung erbringt, nicht die Software an sich. Die folgende Tabelle ordnet die f\u00fcnf Kreise und ihre Kosten- wie Nutzentr\u00e4ger.<\/p>

Regelkreis<\/th>EU-Rechtsrahmen<\/th>Zust\u00e4ndig (DE)<\/th>Woran sie ansetzt<\/th><\/tr><\/thead>
Geldw\u00e4sche \/ Terrorfinanzierung<\/td>AMLR, AMLD6, TFR (ab 10. Juli 2027), AMLA in Frankfurt<\/td>BaFin, FIU<\/td>CASPs, Fiat-Rampen, Custody<\/td><\/tr>
Sanktionen<\/td>EU-Sanktionslisten, Umsetzung national<\/td>Bundesbank, BaFin<\/td>Dienstleister, Emittenten, Adressen<\/td><\/tr>
Marktzugang \/ Wohlverhalten<\/td>MiCA (CASP-Zulassung, Emittentenpflichten)<\/td>BaFin (nach KMAG)<\/td>B\u00f6rsen, Verwahrer, Token-Emittenten<\/td><\/tr>
Derivate<\/td>MiFID II (nicht MiCA)<\/td>BaFin<\/td>Perpetuals, Futures, CFDs<\/td><\/tr>
Steuern<\/td>DAC8, nationales EStG<\/td>Finanz\u00e4mter<\/td>meldende Plattformen, Nutzer<\/td><\/tr><\/tbody><\/table><\/figure>

Jeder dieser Kreise bringt eigene Kosten mit sich und verspricht einen eigenen Nutzen. Die Geldw\u00e4scheaufsicht will illegale Str\u00f6me stoppen, die Sanktionsaufsicht bestimmte Akteure aussperren, MiCA die Anleger sch\u00fctzen, MiFID II die Spekulation einhegen, die Steuerregeln den Fiskus bedienen. Eine Bilanz muss jeden Kreis einzeln pr\u00fcfen, denn das pauschale Urteil „Compliance ist Last“ oder „Compliance ist Schutz“ verdeckt, dass die Kosten-Nutzen-Rechnung je nach Ziel v\u00f6llig unterschiedlich ausf\u00e4llt.<\/p>

Die Regel trifft Menschen, nicht Code<\/h2>

Der ganze Streit h\u00e4ngt an einer scheinbar technischen Frage: An wen richtet sich die Pflicht, wenn die Dienstleistung nur noch aus Software besteht? Die FATF hat darauf 2026 eine Antwort gegeben, die f\u00fcr die Bilanz zentral ist. In ihrem gezielten Bericht zur dezentralen Finanz<\/a> formuliert sie den Test der Kontrolle oder des hinreichenden Einflusses (control or sufficient influence, kurz COSI): Wer \u00fcber ein DeFi-Arrangement Kontrolle oder ma\u00dfgeblichen Einfluss aus\u00fcbt, f\u00e4llt unter die Pflichten f\u00fcr Virtual Asset Service Provider, egal wie „dezentral“ das Projekt sich nennt.<\/p>

Die Analyse von Chainalysis zum Bericht<\/a> teilt die Welt in drei Gruppen: Erstens Projekte mit identifizierbaren Betreibern, die voll den Pflichten unterliegen. Zweitens faktisch zentralisierte Projekte mit verborgenen Betreibern, die ebenfalls im Anwendungsbereich bleiben; hier sollen Aufseher die Verantwortlichen mit Blockchain-Analyse aufsp\u00fcren. Drittens echte f\u00fchrerlose Protokolle, die au\u00dferhalb der VASP-Regeln liegen, aber weiterhin risikobasiert beobachtet werden m\u00fcssen. Als Kontrollindikatoren nennt die FATF unter anderem die Konzentration von Governance-Token, Admin-Rechte und Upgrade-Schl\u00fcssel, die Richtung der Geb\u00fchrenstr\u00f6me sowie den Einfluss auf Entwicklerteam und Front-end-Infrastruktur.<\/p>

Genau diese Indikatoren sind der Grund, warum die Diskussion um Validator- und Governance-Konzentration mehr ist als Technik. Wenn ein kleiner Kreis die Schl\u00fcssel h\u00e4lt, ist das Protokoll aus Sicht der Aufsicht kontrolliert, egal was das Marketing behauptet; die Debatte um die Konsolidierung von Validatoren und DVT<\/a> ist deshalb auch eine Compliance-Debatte. Und die Zahlen zeigen, wie weit Theorie und Praxis auseinanderliegen: Laut FATF hatten rund 93 Prozent der untersuchten L\u00e4nder noch kein einziges qualifizierendes DeFi-Arrangement identifiziert, nur vier Jurisdiktionen hatten eine Lizenzpflicht durchgesetzt, und ganze eine hatte eine Durchsetzungsma\u00dfnahme ergriffen. Das Regelwerk existiert. Angewendet wird es fast nirgends.<\/p>

Die Nutzenseite: die Blockchain als Beweismittel<\/h2>

Beginnen wir mit dem st\u00e4rksten Argument der Bef\u00fcrworter, und es ist ein gutes. Anders als Bargeld hinterl\u00e4sst eine On-Chain-Transaktion eine dauerhafte, \u00f6ffentliche Spur. Was Kritiker als \u00dcberwachung gei\u00dfeln, ist f\u00fcr Ermittler ein Werkzeug, das es in der klassischen Finanzwelt in dieser Form nie gab. Jede Zahlung, jede Br\u00fccke, jeder Mixer-Eingang ist f\u00fcr immer sichtbar. Die Blockchain vergisst nicht.<\/p>

Dieser Vorteil ist vor Gericht angekommen. Im Verfahren gegen den Betreiber des Mixers Bitcoin Fog pr\u00fcfte Bundesrichter Randolph Moss in einer Daubert-Anh\u00f6rung, ob die Forensik-Software von Chainalysis als Beweismittel taugt, und befand, es gebe „substantial evidence“ daf\u00fcr, dass das Werkzeug „highly reliable“ (hochgradig verl\u00e4sslich) sei. Die Blockchain-Forensik<\/a> aus Cluster-Analyse, Transaktionsverfolgung und Heuristik ist damit kein Hilfsmittel mehr, sondern gerichtsfester Beweis. F\u00fcr Strafverfolger ist das ein handfester Nutzen, der sich der Transparenz der Kette verdankt, nicht trotz ihr.<\/p>

Und die Dimension stimmt: Trotz eines Rekordwerts bleiben illegale Transaktionen laut dem Crypto Crime Report 2026 von Chainalysis<\/a> bei weniger als 1 Prozent des gesamten On-Chain-Volumens. Wer behauptet, Krypto sei vor allem ein Geldw\u00e4schevehikel, widerspricht den Daten. Die Transparenz der Kette macht Kriminalit\u00e4t nicht unm\u00f6glich, aber sie macht sie nachverfolgbar, und sie liefert der Justiz Material, das bei Koffern voll Bargeld schlicht fehlt. Das ist die Nutzenseite in ihrer ehrlichsten Form, und man muss sie anerkennen, bevor man die Rechnung aufmacht.<\/p>

Die Kostenseite: 26 Milliarden Dollar f\u00fcr einen Bruchteil<\/h2>

Jetzt die andere Spalte. Der Nutzen der Nachverfolgbarkeit ist real, aber das Geldw\u00e4scheregime, das ihn tr\u00e4gt, ist teuer, und sein Wirkungsgrad ist erschreckend niedrig. Die genauesten verf\u00fcgbaren Zahlen stammen nicht aus Krypto, sondern aus dem klassischen Finanzsystem, und sie sind das beste verf\u00fcgbare Spiegelbild. Die Denkfabrik Coin Center hat sie in ihrer Analyse Tear Down this Walled Garden<\/a> zusammengetragen.<\/p>

Erstens die Kosten: Eine LexisNexis-Studie bezifferte die j\u00e4hrlichen Compliance-Kosten allein in den USA auf mehr als 26 Milliarden US-Dollar, einzelne Gro\u00dfbanken geben \u00fcber 10 Milliarden pro Jahr aus. Zweitens die Wirkung: Nach einer vielzitierten Sch\u00e4tzung der Vereinten Nationen werden lediglich 0,2 Prozent der kriminellen Gelder, die durch das Finanzsystem flie\u00dfen, tats\u00e4chlich beschlagnahmt oder eingefroren. Der Kriminologe Ronald Pol kommt in seiner Forschung sogar auf rund 0,1 Prozent, und merkt an, dass selbst dieser Wert die Wirkung \u00fcberzeichnet, weil ein Gro\u00dfteil der Beschlagnahmen anderen, AML-fremden Polizeimethoden zu verdanken sei.<\/p>

Peter Van Valkenburgh, Forschungsleiter bei Coin Center, zieht daraus ein hartes Fazit: Bei all der \u00dcberwachung und dem Papierkram, den es verlange, leiste das bestehende AML\/KYC-Regime „remarkably little“ (bemerkenswert wenig), um illegale Finanzierung zu verhindern. Das ist keine Krypto-Polemik, sondern eine Aussage \u00fcber das Gesamtsystem, auf das die Krypto-Regeln aufsetzen. Wer DeFi dieselbe Last aufb\u00fcrdet, importiert damit auch deren Wirkungsgrad.<\/p>

Hinzu kommt eine Verteilungsfrage, die in Deutschland selten diskutiert wird: Die Kosten sind regressiv. Sie treffen die Regeltreuen, die ihre Identit\u00e4t preisgeben, Geb\u00fchren zahlen und Reibung ertragen, w\u00e4hrend die Entschlossenen Wege au\u00dfen herum finden. Ein kleines Berliner Start-up, das eine Weboberfl\u00e4che betreibt, tr\u00e4gt denselben rechtlichen Erwartungsdruck wie eine Bank, aber ohne deren Compliance-Abteilung. Der Zoll f\u00e4llt auf die, die ohnehin kooperieren w\u00fcrden.<\/p>

Das Verdr\u00e4ngungsproblem: Compliance verschiebt, sie verhindert nicht<\/h2>

Hier wird die Bilanz richtig unbequem. Compliance wirkt lokal: Sie schlie\u00dft eine T\u00fcr, sperrt eine Adresse, zwingt eine Oberfl\u00e4che zum Filtern. Aber Geld ist fl\u00fcssig, und wenn man an einer Stelle dr\u00fcckt, tritt es an anderer wieder aus. Der Chainalysis-Bericht 2026 macht das Muster sichtbar. Das von illegalen Adressen empfangene Volumen stieg 2025 auf mindestens 154 Milliarden Dollar, ein Plus von 162 Prozent, getrieben vor allem von sanktionierten Akteuren, deren Zufl\u00fcsse um 694 Prozent zulegten.<\/p>

Noch deutlicher ist die Verschiebung beim Instrument: 84 Prozent des illegalen Transaktionsvolumens liefen 2025 \u00fcber Stablecoins, nicht \u00fcber Bitcoin oder anonyme Coins. Ein einzelner, rubelgedeckter Stablecoin namens A7A5 wickelte in weniger als einem Jahr 93,3 Milliarden Dollar ab. Kriminelle sch\u00e4tzen an Stablecoins dasselbe wie legitime Nutzer: schnelle grenz\u00fcberschreitende Transfers, geringe Volatilit\u00e4t, breite Akzeptanz. Je h\u00e4rter die regulierten Rampen und Oberfl\u00e4chen gefiltert werden, desto attraktiver werden selbstverwahrte Wallets, Offshore-Anbieter und Instrumente, die sich dem Zugriff entziehen.<\/p>

Das ist der zentrale Konstruktionsfehler einer Compliance, die \u00fcber Zugangspunkte wirkt: Sie erfasst den Gelegenheitsnutzer und den Fahrl\u00e4ssigen zuverl\u00e4ssig, aber den organisierten, gut beratenen Akteur nur so lange, bis er eine Umgehung gefunden hat. Die FATF nennt das selbst ein Risiko: Das Etikett „DeFi“ lasse faktisch zentralisierte Plattformen au\u00dferhalb der Aufsicht erscheinen, und die, die wirklich f\u00fchrerlos sind, lassen sich ohnehin nicht zur Kasse bitten. Wirksamkeit und Umgehbarkeit sind hier zwei Seiten derselben Medaille.<\/p>

Der Freeze-Button: wo Compliance wirklich bei\u00dft<\/h2>

Es gibt eine Stelle, an der DeFi-Compliance nicht nur verschiebt, sondern tats\u00e4chlich durchgreift, und sie liegt nicht im Protokoll, sondern im Settlement-Asset. Fast jede DeFi-Transaktion l\u00e4uft \u00fcber einen Stablecoin, und dessen Emittent ist ein zentrales, reguliertes Unternehmen. Der US-amerikanische GENIUS Act verlangt von Emittenten von Zahlungs-Stablecoins ausdr\u00fccklich die technische F\u00e4higkeit, Guthaben auf rechtm\u00e4\u00dfige Anordnung einzufrieren, zu beschlagnahmen oder zu vernichten. MiCA verlangt von Emittenten von E-Geld-Token und wertreferenzierten Token nichts grundlegend anderes.<\/p>

Damit sticht der Freeze-Button jede noch so elegante Dezentralisierung. Ein Protokoll kann f\u00fchrerlos sein, seine Vertr\u00e4ge unver\u00e4nderlich, seine Governance verteilt, und trotzdem l\u00e4sst sich jede darin gehaltene USDC- oder USDT-Position per Blacklist-Eintrag beim Emittenten einfrieren. Wir haben an anderer Stelle beschrieben, wie der Freeze-Button zum eigentlichen Regelwerk der FATF<\/a> geworden ist; auch die FATF-Leitlinie von 2026 dr\u00e4ngt auf eben diese Einfrier- und Vernichtungsf\u00e4higkeit. F\u00fcr die Bilanz hei\u00dft das: Der wirksamste Hebel der DeFi-Compliance ist der am wenigsten dezentrale Teil des Stacks.<\/p>

Das hat eine Kehrseite, die \u00fcber Geldw\u00e4sche hinausgeht. Ein Kill-Switch, der gegen Kriminelle funktioniert, funktioniert technisch gegen jeden. Wer die F\u00e4higkeit schafft, Verm\u00f6gen auf Anordnung einzufrieren, schafft zugleich ein Instrument, dessen Reichweite von der Qualit\u00e4t der Anordnung abh\u00e4ngt. Der Nutzen ist konkret und messbar, die Kosten liegen im Konzentrationsrisiko: Die gesamte Compliance-Last ruht am Ende auf einer Handvoll Emittenten, die zu Torw\u00e4chtern des ganzen Systems werden.<\/p>

Was wirksam eigentlich hei\u00dfen w\u00fcrde<\/h2>

Die eigentliche Schw\u00e4che der Debatte ist, dass fast niemand definiert, was Erfolg w\u00e4re. Eine Kosten-Nutzen-Bilanz braucht eine Messgr\u00f6\u00dfe, und davon gibt es drei plausible: die Beschlagnahmequote (wie viel krimineller Ertrag wird tats\u00e4chlich gestoppt), die Abschreckung (wie viel Kriminalit\u00e4t findet gar nicht erst statt) und die Verdr\u00e4ngung (wie viel wandert nur in andere Kan\u00e4le). Das Problem: Die erste Gr\u00f6\u00dfe ist winzig, die zweite kaum messbar, die dritte w\u00e4chst. Die Abschreckung ist dabei die stille Hoffnung des ganzen Systems, aber sie ist auch die am schwersten belegbare; eine seri\u00f6se Zahl, wie viel DeFi-Kriminalit\u00e4t die Regeln verhindert haben, existiert schlicht nicht.<\/p>

Stellt man Nutzen und Kosten nebeneinander, ergibt sich ein Bild, das keiner der beiden Lager mag. Die folgende Tabelle fasst die Bilanz zusammen, so ehrlich wie die Datenlage es erlaubt.<\/p>

Was DeFi-Compliance leistet<\/th>Was sie kostet<\/th><\/tr><\/thead>
Gerichtsfeste On-Chain-Spur (Bitcoin Fog, Daubert)<\/td>Mehr als 26 Mrd. Dollar Compliance-Kosten pro Jahr (nur USA)<\/td><\/tr>
Illegaler Anteil unter 1 Prozent des Volumens<\/td>Nur rund 0,2 Prozent krimineller Gelder beschlagnahmt<\/td><\/tr>
R\u00fcckverfolgung und Wiederbeschaffung gestohlener Mittel<\/td>Regressive Last: trifft die Regeltreuen, nicht die Entschlossenen<\/td><\/tr>
Freeze-Button am Stablecoin greift real durch<\/td>Konzentrationsrisiko bei wenigen Emittenten<\/td><\/tr>
Abschreckung (vermutet)<\/td>Verdr\u00e4ngung in Stablecoins (84 Prozent) und Offshore<\/td><\/tr><\/tbody><\/table><\/figure>

Die Tabelle macht das Grundmuster sichtbar: Der Nutzen liegt vor allem in der Forensik und der R\u00fcckverfolgung nach der Tat, die Kosten in Geld, Reibung und verschobener Aktivit\u00e4t. Als Ermittlungshilfe funktioniert das System gut. Als Mauer, die Kriminalit\u00e4t abh\u00e4lt, funktioniert es schlecht, und das zu einem hohen Preis.<\/p>

Die T\u00fcr statt des Codes: rechnet sich der EU-Ansatz?<\/h2>

Europa hat aus dem Dilemma eine pragmatische Konsequenz gezogen. Da sich ein f\u00fchrerloses Protokoll nicht sinnvoll adressieren l\u00e4sst, zielt die EU auf die Zugangspunkte. In ihrer Stellungnahme zur MiCA-\u00dcberarbeitung schl\u00e4gt ESMA einen neuen regulierten Dienst f\u00fcr Anbieter vor, die Zugang zu DeFi-Protokollen vermitteln, also Weboberfl\u00e4chen, Wallets und Aggregatoren. Die EBA will das Kreditgesch\u00e4ft erfassen, auch dort, wo CASPs den Zugang zu dezentralen Protokollen vermitteln. Die Logik ist bestechend einfach: Wenn man den Code nicht fassen kann, fasst man die T\u00fcr davor.<\/p>

Ob sich das rechnet, ist offen, und nicht jeder in Br\u00fcssel ist \u00fcberzeugt. Peter Kerstens, Berater der Europ\u00e4ischen Kommission und einer der Architekten von MiCA, h\u00e4lt einen eigenen DeFi-Rahmen f\u00fcr verfr\u00fcht. Gesetze g\u00e4lten f\u00fcr Menschen und Organisationen, nicht f\u00fcr Computernetzwerke, sagte er; DeFi sei eher eine Bewegung ohne Repr\u00e4sentanten. Sein Satz dazu ist in der Berichterstattung von Cointelegraph<\/a> \u00fcberliefert: „I don’t see what the problem is. And if there is no problem, why should it be regulated?“ Die EU solle sich lieber auf Tokenisierung und einen breiteren Rahmen f\u00fcr reale Verm\u00f6genswerte konzentrieren als auf ein MiCA-2 gegen DeFi.<\/p>

Die Kosten dieses Ansatzes sind konkret: Jeder zus\u00e4tzliche lizenzpflichtige Dienst erh\u00f6ht die Markteintrittsschwelle, und je breiter man „Zugang“ definiert, desto mehr Open-Source-Entwickler geraten in die N\u00e4he einer Erlaubnispflicht. Der Nutzen h\u00e4ngt daran, ob die wenigen greifbaren T\u00fcren tats\u00e4chlich die Str\u00f6me kanalisieren, oder ob die Aktivit\u00e4t nur zu Oberfl\u00e4chen au\u00dferhalb der EU abwandert. Die Verdr\u00e4ngungslogik aus dem vorigen Abschnitt gilt auch hier.<\/p>

Der Fall Tornado Cash: die teuerste Zeile Code<\/h2>

Keine Episode zeigt die Kostenseite der Durchsetzung sch\u00e4rfer als Tornado Cash. Zuerst der juristische Teilerfolg f\u00fcr die Branche: Im Verfahren Van Loon gegen das US-Finanzministerium entschied der Fifth Circuit Ende 2024, dass unver\u00e4nderliche Smart Contracts kein „Eigentum“ im Sinne des Sanktionsrechts seien, weil niemand sie besitzt oder kontrolliert; die US-Sanktionsbeh\u00f6rde OFAC nahm Tornado Cash daraufhin am 21. M\u00e4rz 2025 von der Liste<\/a>. Code allein, so die Lehre, l\u00e4sst sich nicht sanktionieren.<\/p>

Der strafrechtliche Teil verlief anders. Entwickler Roman Storm wurde im August 2025 wegen Verschw\u00f6rung zum Betrieb eines unlizenzierten Geldtransmitters verurteilt; in den Punkten Geldw\u00e4sche und Sanktionsversto\u00df blieb die Jury gespalten. Der Wiederaufnahmeprozess zu genau diesen beiden Punkten ist inzwischen auf den 26. April 2027 vertagt<\/a>, vor Bundesrichterin Katherine Polk Failla. Jahre an Verfahren, Verteidigungskosten in Millionenh\u00f6he und eine ungekl\u00e4rte Rechtsfrage, ob das Schreiben von Software zum Verbrechen werden kann: Das ist eine Position auf der Kostenseite, die selten in die Rechnung eingeht.<\/p>

Selbst im US-Justizministerium ist diese Spannung angekommen. Matthew Galeotti, ranghoher Vertreter der Kriminalabteilung, formulierte 2025 den Grundsatz, das blo\u00dfe Schreiben von Code ohne b\u00f6se Absicht sei kein Verbrechen<\/a>: „merely writing code without ill intent is not a crime“. Die Kosten liegen hier nicht nur im einzelnen Prozess, sondern im Abschreckungseffekt auf legitime Entwickler. Wer quelloffene Infrastruktur baut, etwa die Werkzeuge f\u00fcr dezentrale Inferenz und andere offene Netzwerke<\/a>, muss abw\u00e4gen, ob ver\u00f6ffentlichter Code ihn in die N\u00e4he einer Straftat r\u00fcckt. Dieser Chilling-Effekt ist ein realer Preis, auch wenn er in keiner LexisNexis-Tabelle auftaucht.<\/p>

Front-ends, DAOs und autonome Agenten<\/h2>

Wenn der Code unantastbar ist, landet die Durchsetzung dort, wo sie etwas zu greifen findet. Das ist erstens das Front-end. Die Vertr\u00e4ge selbst sind zensurresistent, aber die gehostete Weboberfl\u00e4che ist eine juristische Person mit Server, Firmensitz und Haftung. Uniswap Labs etwa filtert mit Daten von TRM Labs; nach eigenen Angaben wurden hunderte Adressen<\/a> von der Oberfl\u00e4che ausgesperrt, darunter OFAC-gelistete und als gestohlen oder Ransomware markierte. Die On-Chain-Logik blieb unber\u00fchrt, die T\u00fcr davor nicht. Das ist billig durchzusetzen und deshalb der bevorzugte Angriffspunkt der Aufsicht, aber es trifft eben nur den, der die Oberfl\u00e4che nutzt, statt direkt mit dem Vertrag zu sprechen.<\/p>

Zweitens die Organisationsform. Die US-Derivateaufsicht CFTC erwirkte 2023 ein Vers\u00e4umnisurteil gegen die Ooki DAO<\/a>: Eine DAO sei eine nicht eingetragene Vereinigung und damit eine „Person“ im Sinne des Gesetzes, die abstimmenden Token-Inhaber seien ihre Mitglieder. Die Strafe betrug 643.542 US-Dollar, die Website wurde abgeschaltet. Die Botschaft: Wer \u00fcber ein Protokoll mitbestimmt, kann mithaften. Das ist die Durchsetzungslogik des Kontrolltests in Reinform.<\/p>

Und drittens eine Front, die 2026 erst entsteht: autonome Software-Agenten. Wenn ein KI-Agent eigenst\u00e4ndig mit einem DeFi-Protokoll handelt, keine Weboberfl\u00e4che nutzt und keinen menschlichen Ausl\u00f6ser hat, wer ist dann der verpflichtete Akteur? Die Frage ist nicht hypothetisch; wir haben sie am Beispiel von KI-Agenten ohne menschliche Freigabe<\/a> ausf\u00fchrlich behandelt. F\u00fcr die Bilanz ist sie zentral: Das gesamte Compliance-Geb\u00e4ude setzt einen identifizierbaren Menschen oder ein Unternehmen voraus, an das die Pflicht andockt. Je autonomer die Handelnden werden, desto \u00f6fter l\u00e4uft dieser Mechanismus ins Leere, und desto mehr Gewicht verlagert sich zur\u00fcck auf den Freeze-Button am Settlement-Asset.<\/p>

Was deutsche Nutzer, Entwickler und CASPs konkret tragen<\/h2>

F\u00fcr deutsche Leser l\u00e4sst sich die abstrakte Bilanz herunterbrechen. Ein in Deutschland zugelassener CASP arbeitet seit dem Ende der verk\u00fcrzten MiCA-\u00dcbergangsfrist unter voller BaFin-Aufsicht nach dem Kryptom\u00e4rkteaufsichtsgesetz (KMAG). Dazu kommen ab dem 10. Juli 2027 die direkt geltende Geldw\u00e4scheverordnung AMLR und die neue EU-Beh\u00f6rde AMLA mit Sitz in Frankfurt, die die risikoreichsten Verpflichteten k\u00fcnftig direkt beaufsichtigt. Das ist ein dichtes, teures Pflichtenheft, und es trifft den lizenzierten Anbieter mit voller Wucht.<\/p>

F\u00fcr den einzelnen Nutzer hei\u00dft das vor allem Reibung: KYC bei jeder regulierten Rampe, versch\u00e4rfte Sorgfaltspr\u00fcfungen bei Transfers von und zu selbstverwahrten Wallets, Meldepflichten der Plattformen an die Finanz\u00e4mter \u00fcber DAC8. F\u00fcr einen kleinen deutschen Entwickler, der ein Front-end oder ein Tool baut, ist die Lage am prek\u00e4rsten: Er tr\u00e4gt rechtliche Unsicherheit, aber nicht die Ressourcen einer Rechtsabteilung. Genau hier wirkt die regressive Kostenverteilung aus der Bilanz oben, und genau hier entscheidet sich, ob Europa Entwickler h\u00e4lt oder exportiert.<\/p>

Die Pointe f\u00fcr Deutschland: Der wirksamste Hebel, der Freeze-Button am Stablecoin, liegt gar nicht in deutscher oder europ\u00e4ischer Hand, sondern bei den \u00fcberwiegend US-regulierten Emittenten. Deutsche Aufsicht kann Rampen und Oberfl\u00e4chen regulieren, aber das scharfe Instrument sitzt am Settlement-Asset, und das kontrolliert ein anderer Rechtsraum. Das ist ein stiller, aber gewichtiger Posten auf der Kostenseite der europ\u00e4ischen Rechnung.<\/p>

Die Bilanz: funktioniert es?<\/h2>

Zeit f\u00fcr das Urteil, Ziel f\u00fcr Ziel. Die EU wird weiter regeln: Die MiCA-Konsultation ist seit dem 30. September geschlossen<\/a>, die Pflichtberichte sollen bis 30. Juni 2027 vorliegen, ein m\u00f6gliches MiCA-2 l\u00e4ge fr\u00fchestens 2028. Parallel wird mit der AMLR ab 10. Juli 2027 und der AMLA in Frankfurt<\/a> das Geldw\u00e4scheregime vereinheitlicht. Mehr Regeln sind also sicher. Die Frage ist, ob sie an den Zielen etwas \u00e4ndern.<\/p>

Ziel<\/th>Wirkt es?<\/th>Zu welchem Preis<\/th><\/tr><\/thead>
Geldw\u00e4sche verhindern<\/td>Kaum (ca. 0,2 Prozent beschlagnahmt)<\/td>Hoch und regressiv<\/td><\/tr>
Strafverfolgung erm\u00f6glichen<\/td>Ja (gerichtsfeste On-Chain-Spur)<\/td>Moderat<\/td><\/tr>
Sanktionen durchsetzen<\/td>Teilweise (Freeze-Button greift, Umgehung w\u00e4chst)<\/td>Konzentrationsrisiko<\/td><\/tr>
Anleger sch\u00fctzen (MiCA)<\/td>Teilweise (nur an den Zugangspunkten)<\/td>Markteintrittsschwelle<\/td><\/tr>
Kriminalit\u00e4t abschrecken<\/td>Unbelegt<\/td>Unbekannt<\/td><\/tr><\/tbody><\/table><\/figure>

Das Muster ist eindeutig und f\u00fcr beide Lager unbequem. DeFi-Compliance funktioniert hervorragend als Forensik- und Beweisinstrument nach der Tat, m\u00e4\u00dfig bis gut bei gezielten Sanktionen \u00fcber den Freeze-Button, und schlecht als breite Mauer gegen Geldw\u00e4sche. Der Preis ist hoch, f\u00e4llt \u00fcberproportional auf die Regeltreuen, und das einzige wirklich scharfe Werkzeug, der Kill-Switch am Stablecoin, ist zugleich der am st\u00e4rksten zentralisierte Teil des Systems. Die Behauptung, Compliance stoppe das Verbrechen, h\u00e4lt den Daten nicht stand. Die Behauptung, sie bringe nichts, auch nicht.<\/p>

Was w\u00fcrde die Rechnung verbessern? Eine ehrliche Bilanz legt drei Schl\u00fcsse nahe. Erstens: messen statt annehmen, also Beschlagnahme-, Abschreckungs- und Verdr\u00e4ngungsquoten erheben, bevor man die n\u00e4chste Regelschicht auflegt. Zweitens: zielgenau statt fl\u00e4chig, denn die gerichtsfeste Blockchain-Spur ist der Hebel mit dem besten Verh\u00e4ltnis von Nutzen zu Kosten, pauschale KYC-Pflichten an jeder T\u00fcr der schw\u00e4chste. Drittens: die regressive Last anerkennen, damit nicht ausgerechnet der kleine, kooperative Entwickler den Preis f\u00fcr eine Mauer zahlt, die den Entschlossenen ohnehin nicht aufh\u00e4lt. Kerstens hat insofern einen Punkt: Wo kein belegbares Problem ist, ist auch die Regel eine Kostenposition ohne Gegenwert.<\/p>

H\u00e4ufig gestellte Fragen<\/h2>

Was bedeutet DeFi-Compliance?<\/h3>

DeFi-Compliance ist das B\u00fcndel aus Geldw\u00e4sche-, Sanktions-, Markt-, Derivate- und Steuerregeln, das auf dezentrale Finanzprotokolle angewendet wird. In der EU setzen MiCA, die AMLR und die Transferverordnung bei den Dienstleistern und Zugangspunkten an, nicht am Code selbst; die BaFin reguliert Anbieter und Emittenten, nicht das Protokoll.<\/p>

F\u00e4llt ein DeFi-Protokoll unter MiCA?<\/h3>

Autonome, f\u00fchrerlose Protokolle fallen grunds\u00e4tzlich nicht unter MiCA, das Dienstleister (CASPs) und Emittenten reguliert. Sobald aber eine Person oder ein Unternehmen Kontrolle oder ma\u00dfgeblichen Einfluss aus\u00fcbt, etwa \u00fcber Admin-Schl\u00fcssel, Governance oder das Front-end, kann die Aufsicht greifen. ESMA will zudem Anbieter erfassen, die Zugang zu DeFi-Protokollen vermitteln.<\/p>

Funktioniert die Geldw\u00e4scheaufsicht bei DeFi?<\/h3>

Nur begrenzt. Das klassische AML-Regime kostet allein in den USA \u00fcber 26 Milliarden Dollar pro Jahr, beschlagnahmt aber laut UN-Sch\u00e4tzung nur rund 0,2 Prozent der kriminellen Gelder. Bei DeFi kommt hinzu, dass 84 Prozent des illegalen Volumens \u00fcber Stablecoins laufen und sich Aktivit\u00e4t leicht in unregulierte Kan\u00e4le verschiebt. Als Ermittlungshilfe funktioniert das System besser denn als Mauer.<\/p>

Was ist der FATF-Kontrolltest (COSI)?<\/h3>

Der COSI-Test (control or sufficient influence) der FATF pr\u00fcft, ob eine Person oder Organisation Kontrolle oder hinreichenden Einfluss \u00fcber ein DeFi-Arrangement aus\u00fcbt. Indikatoren sind Token-Konzentration, Admin- und Upgrade-Rechte, Geb\u00fchrenstr\u00f6me und Einfluss auf Team und Front-end. Trifft das zu, gilt das Arrangement als Dienstleister mit vollen Pflichten, egal wie dezentral es sich nennt.<\/p>

K\u00f6nnen Beh\u00f6rden Guthaben in DeFi einfrieren?<\/h3>

Direkt im Protokoll meist nicht, aber \u00fcber das Settlement-Asset sehr wohl. Emittenten von Stablecoins m\u00fcssen nach dem US-GENIUS Act und sinngem\u00e4\u00df unter MiCA die technische F\u00e4higkeit vorhalten, Guthaben auf rechtm\u00e4\u00dfige Anordnung einzufrieren oder zu vernichten. Damit l\u00e4sst sich eine Position selbst in einem vollst\u00e4ndig dezentralen Protokoll sperren, solange sie in einem regulierten Stablecoin gehalten wird.<\/p>