Drei M\u00e4nner, drei Urteile, eine Frage. Roman Storm wurde im August 2025 in New York schuldig gesprochen, ein nicht lizenziertes Geldtransfergesch\u00e4ft betrieben zu haben. Alexey Pertsev verb\u00fc\u00dft in den Niederlanden eine Haftstrafe von 64 Monaten, derzeit unter elektronischer \u00dcberwachung, w\u00e4hrend seine Berufung l\u00e4uft. Keonne Rodriguez und William Lonergan Hill, die Gr\u00fcnder von Samourai Wallet, bekannten sich im Juli 2025 schuldig und gingen im November 2025 f\u00fcr f\u00fcnf beziehungsweise vier Jahre ins Gef\u00e4ngnis. Alle drei F\u00e4lle kreisen um dieselbe Frage, die 2026 jeden ernsthaften DeFi-Entwickler umtreibt: Ist das Ver\u00f6ffentlichen von Code eine Straftat?<\/p>
Die Antwort ist unbequem, weil sie nicht „ja“ oder „nein“ lautet, sondern „es kommt darauf an“. Sie h\u00e4ngt nicht davon ab, wie dezentral eine Anwendung aussieht, sondern davon, wie viel Kontrolle ein Mensch \u00fcber sie beh\u00e4lt und ob er daran verdient. Dieser Ma\u00dfstab, Kontrolle statt Etikett, zieht sich durch das US-Strafrecht, durch ein niederl\u00e4ndisches Berufungsgericht und durch das europ\u00e4ische Regelwerk, das ab 2027 greift. Bei einem Bitcoin-Kurs von rund 73.000 Euro<\/a> und einem Stablecoin-Markt von knapp 300 Milliarden US-Dollar<\/a> ist dezentrale Finanz zu gro\u00df geworden, um sie als juristische Randnotiz zu behandeln. Warum der Kurs im Oktober trotzdem stockt, haben wir an anderer Stelle<\/a> beschrieben.<\/p> F\u00fcr Leser in Deutschland ist das keine ferne US-Debatte. Der sch\u00e4rfste Fall auf europ\u00e4ischem Boden, Pertsev, wurde in den Niederlanden verhandelt, nicht in Washington. Und das deutsche Recht kennt mit \u00a7 261 StGB, dem Kryptom\u00e4rkteaufsichtsgesetz und der k\u00fcnftigen EU-Geldw\u00e4scheverordnung drei eigene Hebel, die denselben Entwickler treffen k\u00f6nnen. Dieser Text sortiert die F\u00e4lle, den juristischen Ma\u00dfstab und die konkreten Risiken, die ein Open-Source-Entwickler hierzulande heute tr\u00e4gt. Wer zivil- und aufsichtsrechtlich haftet, wenn nur Code l\u00e4uft, haben wir im Begleitst\u00fcck<\/a> aufgeschl\u00fcsselt; hier geht es um das Strafrecht.<\/p> Die zentrale Trennlinie klingt einfach und ist in der Praxis doch schwer zu ziehen. Reines Schreiben und Ver\u00f6ffentlichen von Software ist in den meisten Rechtsordnungen keine Straftat; das Betreiben eines Dienstes rund um diese Software kann eine sein. Matthew Galeotti, zum fraglichen Zeitpunkt kommissarischer Leiter der Strafrechtsabteilung des US-Justizministeriums, stellte im August 2025 klar, dass nach Auffassung seines Hauses das blo\u00dfe Schreiben von Code ohne b\u00f6se Absicht keine Straftat<\/a> sei. Der Nachsatz, ohne b\u00f6se Absicht, tr\u00e4gt das ganze Gewicht.<\/p> Denn sobald ein Entwickler nicht nur ver\u00f6ffentlicht, sondern eine laufende Infrastruktur unterh\u00e4lt, Geb\u00fchren einzieht, eine Weboberfl\u00e4che betreibt, einen Relayer bereitstellt oder Nutzer aktiv anleitet, verschiebt sich die Einordnung vom Werk zur Handlung. Aus „ich habe Code geschrieben“ wird „ich habe einen Dienst betrieben“. In den USA f\u00e4llt genau diese Grenze mit dem Vorwurf zusammen, ein nicht lizenziertes Geldtransfergesch\u00e4ft nach 18 U.S.C. \u00a7 1960 zu betreiben. In Deutschland entspricht ihr die Erlaubnispflicht nach dem Kryptom\u00e4rkteaufsichtsgesetz. Das Etikett „dezentral“ sch\u00fctzt nicht, wenn im Hintergrund eine Person die F\u00e4den zieht.<\/p> Die Financial Action Task Force (FATF), der globale Standardsetzer f\u00fcr Geldw\u00e4schebek\u00e4mpfung, hat die Formel geliefert, an der sich inzwischen Strafgerichte wie Aufseher orientieren. In ihrem Bericht zu den regulatorischen Herausforderungen dezentraler Finanz vom Juli 2026<\/a> beschreibt sie den Kontroll-oder-Einfluss-Test (control or sufficient influence): Eine DeFi-Anwendung f\u00e4llt \u00fcberall dort unter die Geldw\u00e4scheregeln, wo eine nat\u00fcrliche oder juristische Person Kontrolle oder hinreichenden Einfluss aus\u00fcbt.<\/p> Die FATF unterscheidet drei F\u00e4lle. Erstens: identifizierbare Betreiber, die dann als Dienstleister die volle Geldw\u00e4scheaufsicht tragen. Zweitens: faktisch zentralisierte Anwendungen, deren Betreiber sich verstecken, die aber trotzdem erfasst bleiben. Drittens: echte herrenlose Protokolle, die aus dem Dienstleister-Rahmen fallen, bei denen aber Restrisiken zu mindern sind. Als Kontrollindikatoren nennt die FATF unter anderem die Konzentration von Governance-Token, Administrations- und Upgrade-Rechte, die Richtung von Geb\u00fchren- und Treasury-Str\u00f6men sowie Einfluss auf Entwicklerteam und Front-end-Infrastruktur.<\/p> Die Zahlen zeigen, wie weit Anspruch und Wirklichkeit auseinanderliegen: Rund 93 Prozent der untersuchten Jurisdiktionen (132 von 143) hatten die Standards f\u00fcr erfassungspflichtige DeFi-Anwendungen noch nicht umgesetzt, nur zwei von 142 hatten \u00fcberhaupt eine solche Anwendung lizenziert oder registriert. Der praktische Effekt ist ern\u00fcchternd: Wo kein Aufseher greift, greift am Ende der Staatsanwalt. Kontrolle ist der rote Faden, der die vier gro\u00dfen F\u00e4lle dieses Jahres verbindet.<\/p> Diese drei Kategorien erkl\u00e4ren die scheinbar widerspr\u00fcchlichen Urteile. Van Loon f\u00e4llt in die dritte: ein Protokoll ohne Betreiber, das niemand mehr steuern kann. Storm und Samourai fallen in die erste: identifizierbare Personen, die eine laufende Oberfl\u00e4che, Geb\u00fchren und Marketing kontrollierten. Pertsev liegt dazwischen, und genau deshalb ist seine Berufung so wichtig, denn sie kl\u00e4rt, wie viel Resteinfluss aus einem Autor einen Betreiber macht. Wer die F\u00e4lle nebeneinanderlegt, sieht nicht Willk\u00fcr, sondern denselben Test in drei Auspr\u00e4gungen.<\/p> Der erste der vier F\u00e4lle ging zugunsten des Codes aus. Am 26. November 2024 entschied das US-Bundesberufungsgericht f\u00fcr den Fifth Circuit in der Sache Van Loon gegen das Finanzministerium<\/em>, dass das Office of Foreign Assets Control (OFAC) seine Befugnisse \u00fcberschritten hatte, als es die Smart Contracts von Tornado Cash auf die Sanktionsliste setzte. Die Begr\u00fcndung: Die unver\u00e4nderlichen Smart Contracts seien kein Eigentum<\/a> im Sinne des International Emergency Economic Powers Act, weil niemand sie besitzen, kontrollieren oder ver\u00e4ndern kann.<\/p> Entscheidend war die Unver\u00e4nderlichkeit. Mehr als tausend Teilnehmer hatten in einer sogenannten trusted setup ceremony die M\u00f6glichkeit unwiderruflich entfernt, den Code noch zu \u00e4ndern oder abzuschalten. Was niemandem geh\u00f6rt und von niemandem gesteuert werden kann, l\u00e4sst sich auch nicht sanktionieren. Das Finanzministerium nahm Tornado Cash im M\u00e4rz 2025 von der Liste<\/a>. Van Loon markiert damit die Obergrenze dessen, was „Code ist frei“ bedeutet: Ein wirklich herrenloses Protokoll ist kein Rechtssubjekt. Der Haken ist nur, dass die wenigsten DeFi-Anwendungen wirklich herrenlos sind, und dass die Entscheidung nichts \u00fcber die strafrechtliche Verantwortung der Menschen aussagt, die das Protokoll gebaut und betrieben haben.<\/p> Wichtig f\u00fcr europ\u00e4ische Leser ist au\u00dferdem, was Van Loon nicht entschieden hat. Das Urteil betrifft allein die Sanktionsbefugnis einer US-Beh\u00f6rde unter einem US-Gesetz; es sagt nichts dar\u00fcber, ob ein Entwickler sich strafbar gemacht hat, und es bindet kein europ\u00e4isches Gericht. Ein deutscher oder niederl\u00e4ndischer Richter kann denselben Code ganz anders bewerten, zumal das kontinentaleurop\u00e4ische Recht keine mit der US-Meinungsfreiheit vergleichbare Schutzschranke f\u00fcr Software kennt. Van Loon ist ein starkes Signal f\u00fcr die Unantastbarkeit herrenlosen Codes, aber kein Freibrief f\u00fcr die Menschen dahinter.<\/p> Denn parallel zur Sanktionsfrage lief ein Strafverfahren gegen einen Menschen. Roman Storm, Mitentwickler von Tornado Cash, wurde im August 2025 vor einem Bundesgericht in Manhattan wegen Verschw\u00f6rung zum Betrieb eines nicht lizenzierten Geldtransfergesch\u00e4fts schuldig gesprochen. Bei den beiden anderen Anklagepunkten, Verschw\u00f6rung zur Geldw\u00e4sche und zum Sanktionsbruch, konnte sich die Jury nicht einigen. F\u00fcr diese offenen Punkte hat Richterin Katherine Polk Failla eine Neuverhandlung auf den 26. April 2027<\/a> angesetzt; jeder Punkt wiegt bis zu 20 Jahre Haft.<\/p> Der Schuldspruch im ersten Verfahren zeigt, wo die Grenze aus dem vorigen Abschnitt konkret verl\u00e4uft. Nicht das Schreiben der Vertr\u00e4ge brachte Storm vor Gericht, sondern alles, was drumherum betrieben wurde: eine Weboberfl\u00e4che, \u00fcber die Nutzer den Mixer bedienten, ein Relayer-System, Geb\u00fchren und ein Governance-Token. Aus Sicht der Geschworenen war das genug, um aus Entwicklung einen Betrieb zu machen. Sein Verteidiger Brian Klein h\u00e4lt dagegen, die Anklage habe nie genug Beweise f\u00fcr die Schuldspr\u00fcche vorgelegt, und beruft sich darauf, dass Storms Arbeit die Ver\u00f6ffentlichung quelloffener Software war. Genau diese Spannung, Werk oder Dienst, geht im April 2027 in die zweite Runde.<\/p> Die juristische Theorie hinter dem Schuldspruch ist f\u00fcr Entwickler die eigentliche Nachricht. Nach US-Recht gen\u00fcgt f\u00fcr ein Geldtransfergesch\u00e4ft, dass jemand Werte f\u00fcr andere bewegt; ob er die Gelder verwahrt oder nur weiterleitet, ist zweitrangig. \u00dcbertr\u00e4gt man diese Logik, dann sch\u00fctzt es einen Entwickler nicht, dass die Mittel nie auf seinem eigenen Konto lagen. Entscheidend ist, ob er den Fluss in Gang hielt. F\u00fcr die zweite Runde im April 2027 bleibt offen, ob auch die sch\u00e4rferen Vorw\u00fcrfe der Geldw\u00e4sche und des Sanktionsbruchs haften, die ungleich h\u00f6here Strafen tragen.<\/p> F\u00fcr europ\u00e4ische Entwickler ist nicht Storm der wichtigste Fall, sondern Pertsev, denn er wurde auf EU-Boden entschieden. Ein niederl\u00e4ndisches Gericht verurteilte den Tornado-Cash-Entwickler Alexey Pertsev im Mai 2024 zu 64 Monaten Haft, weil er zwischen Juli 2019 und August 2022 \u00fcber den Mixer die Geldw\u00e4sche von rund 1,2 Milliarden US-Dollar erm\u00f6glicht<\/a> habe. Pertsev legte Berufung beim Berufungsgericht in s-Hertogenbosch ein und wurde im Februar 2025 unter der Auflage elektronischer \u00dcberwachung aus der Haft entlassen, um seine Verteidigung vorzubereiten.<\/p> Die Berufung dreht sich um denselben Kern wie die US-F\u00e4lle: um Kontrolle. Pertsevs Verteidigung argumentiert, der dezentrale und unver\u00e4nderliche Charakter<\/a> von Tornado Cash m\u00fcsse zur Aufhebung des Urteils f\u00fchren, da er nach dem Deployment keine echte Verf\u00fcgungsgewalt mehr \u00fcber die Software gehabt habe. Zus\u00e4tzlich verlangt die Verteidigung Einblick in die Analyse-Software von Chainalysis, mit der die Mittelfl\u00fcsse zugeordnet wurden. Teile der Ethereum-Gemeinde unterst\u00fctzen den Fall, weil hier auf europ\u00e4ischem Boden gekl\u00e4rt wird, ob das reine Bereitstellen von Protokollcode strafbar ist. Ein Urteil im Berufungsverfahren steht noch aus.<\/p> Der Fall ist auch deshalb lehrreich, weil er die Grenzen der Blockchain-Forensik ber\u00fchrt. Die Verteidigung greift an, wie zuverl\u00e4ssig Analyse-Software Transaktionen tats\u00e4chlich einer Person zuordnen kann, und trifft damit einen wunden Punkt: Diese Werkzeuge liefern Wahrscheinlichkeiten, keine mathematischen Beweise. F\u00fcr deutsche Entwickler, die auf dasselbe EU-Rechtsumfeld blicken, ist Pertsev der realistischere Ma\u00dfstab als jeder US-Fall, denn er zeigt, dass ein europ\u00e4isches Gericht einen Mixer-Entwickler verurteilen kann und dass die Berufung nicht \u00fcber abstrakte Dezentralit\u00e4t gewonnen wird, sondern \u00fcber die konkrete Frage der Kontrolle.<\/p> Der klarste der vier F\u00e4lle endete ohne gro\u00dfen Streit \u00fcber die Rechtsfrage, weil die Angeklagten einlenkten. Keonne Rodriguez und William Lonergan Hill, Gesch\u00e4ftsf\u00fchrer und technischer Kopf von Samourai Wallet, bekannten sich am 30. Juli 2025 vor Richterin Denise Cote schuldig, ein nicht lizenziertes Geldtransfergesch\u00e4ft betrieben zu haben, \u00fcber das mehr als 237 Millionen US-Dollar an kriminellen Erl\u00f6sen liefen. Im November 2025 wurde Rodriguez zu f\u00fcnf Jahren Haft und 250.000 US-Dollar Geldstrafe<\/a>, Hill zu vier Jahren<\/a> verurteilt.<\/p> Warum war dieser Fall so eindeutig? Weil die Staatsanwaltschaft nicht nur Code vorlegte, sondern Verhalten. Den Ermittlern zufolge bezeichnete Rodriguez den Dienst intern als Geldw\u00e4sche f\u00fcr Bitcoin, und die Coinjoin-Funktion Whirlpool wurde in Darknet-Foren damit beworben, Mittel unauffindbar zu machen. Das ist nicht mehr die Grauzone des Van-Loon-Falls, sondern der Vorsatz, den Galeotti meinte. Samourai zeigt, wo die Linie zwischen sch\u00fctzenswerter Software und strafbarem Betrieb am deutlichsten liegt: dort, wo Entwickler wissentlich kriminelle Erl\u00f6se durchleiten und genau damit werben.<\/p> Dass ausgerechnet Mixer zum Pr\u00fcfstein wurden, ist kein Zufall. Sie sind der Punkt, an dem Privatsph\u00e4re-Technik und Geldw\u00e4sche-Verdacht am dichtesten beieinanderliegen, und sie zwingen Gerichte zur Grundsatzfrage dieses Textes. In den USA kommt hinzu, dass solche Dienste sich als Geldtransmitter beim Finanzministerium h\u00e4tten registrieren und ein Geldw\u00e4scheprogramm f\u00fchren m\u00fcssen, was keiner der Angeklagten tat. Genau diese unterlassene Registrierung, nicht der Mixer-Code an sich, lieferte den Anklagepunkt, der am verl\u00e4sslichsten zu einer Verurteilung f\u00fchrte.<\/p> Vier Verfahren, vier Ausg\u00e4nge, ein gemeinsamer Ma\u00dfstab. Die Tabelle fasst zusammen, worum es ging und was jeweils den Ausschlag gab.<\/p>Der Unterschied zwischen Code und Betrieb<\/h2>
Der Kontrolltest, an dem sich alles entscheidet<\/h2>
Van Loon: wenn Code niemandem geh\u00f6rt<\/h2>
Roman Storm: der Betrieb macht den T\u00e4ter<\/h2>
Alexey Pertsev: Europas eigener Fall<\/h2>
Samourai Wallet: wie die Grenze gezogen wurde<\/h2>
Die vier F\u00e4lle im \u00dcberblick<\/h2>