Am 16. Juli 2026 veröffentlichte die Financial Action Task Force (FATF) ihr siebtes gezieltes Update zur Umsetzung der Empfehlung 15 im Bereich virtueller Vermögenswerte und Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASPs). Das Dokument führt kein separates neues Regelwerk ein, zeigt aber, wie Staaten die geltenden FATF-Standards umsetzen und welche Lücken bei Regulierung, Aufsicht und Durchsetzung bestehen bleiben.
Warum FATF-Standards in der Praxis relevant sind
Die FATF ist ein zwischenstaatliches Gremium, das internationale Standards zur Bekämpfung von Geldwäsche, Terrorismusfinanzierung und der Finanzierung der Verbreitung von Massenvernichtungswaffen setzt. FATF-Empfehlungen ersetzen kein nationales Recht und begründen in der Regel keine unmittelbaren privatrechtlichen Pflichten für Unternehmen. Staaten setzen diese Standards durch eigene Gesetze, Lizenzierungsverfahren und Aufsichtsmechanismen um.
Gleichzeitig kann die Nichteinhaltung der FATF-Standards durch ein nationales System bei gegenseitigen Evaluierungen und verstärkten Überwachungsverfahren berücksichtigt werden. Für grenzüberschreitend tätige Krypto-Unternehmen haben FATF-Standards zudem vertragliche und Compliance-Bedeutung: Banken, Börsen und andere regulierte Vertragspartner können den Nachweis ordnungsgemäßer KYC-Verfahren, Sanktionsprüfungen, Transaktionsüberwachung und der Informationsübermittlung nach der Travel Rule verlangen.
Zentrale Ergebnisse des FATF-Updates
Im Rahmen der Erhebung 2026 gaben 83 % der Befragten — 91 von 109 Jurisdiktionen — an, Gesetze zur Umsetzung der Travel Rule für VASPs erlassen zu haben. 2025 lag dieser Wert bei 73 % — 85 von 117 Jurisdiktionen. Weitere 11 von 109 Befragten gaben 2026 an, sich im Prozess der Umsetzung der entsprechenden Anforderungen zu befinden.
Diese Ergebnisse dürfen nicht mit Daten aus gegenseitigen Evaluierungen vermengt werden. Stand April 2026 hatte die FATF veröffentlichte Bewertungen von 149 Jurisdiktionen zu Empfehlung 15 analysiert: eine Jurisdiktion wurde als vollständig konform, 51 als weitgehend konform (34 %), 64 als teilweise konform (43 %) und 33 als nicht konform (22 %) eingestuft. Die Verabschiedung von Travel-Rule-Gesetzen bedeutet somit noch nicht, dass das System voll funktionsfähig ist.
Die FATF weist gesondert auf die Schwierigkeit hin, natürliche und juristische Personen zu identifizieren, die faktisch VASP-Dienstleistungen ohne die erforderliche Registrierung oder Lizenz erbringen. Fast die Hälfte der Jurisdiktionen, die bereits Travel-Rule-Gesetze eingeführt haben, hat noch keine Aufsichts- oder Durchsetzungsmaßnahmen gezeigt, die unmittelbar mit der Einhaltung dieser Regel zusammenhängen.
Risiken, auf die sich die FATF konzentriert
Der Bericht beschreibt die wachsende Komplexität der kriminellen Nutzung virtueller Vermögenswerte, einschließlich der „Industrialisierung“ von Betrug durch organisierte kriminelle Gruppen. Zu den Risikobereichen zählt die FATF Stablecoins, P2P-Überweisungen über unhosted wallets, Offshore-VASPs, OTC-Broker, Cross-Chain-Instrumente und bestimmte DeFi-Modelle.
Einschätzungen privater Analyseunternehmen sind keine FATF-Statistiken und hängen von deren eigener Methodik ab. So schätzte Chainalysis im Januar 2026 den durch Kryptobetrug im Jahr 2025 gestohlenen Betrag auf mindestens 17 Milliarden US-Dollar. Solche Zahlen sollten stets mit klarer Angabe der Quelle und ihrer methodischen Grenzen verwendet werden.
Die Travel Rule in der Europäischen Union
Die Verordnung (EU) 2023/1113 über Angaben bei Geldtransfers und bestimmten Kryptowerten gilt seit dem 30. Dezember 2024. Sie erfasst Transfers von Kryptowerten, wenn der Auftraggeber-, der Begünstigten- oder ein zwischengeschalteter CASP seinen eingetragenen Sitz in der Europäischen Union hat, vorbehaltlich der in der Verordnung vorgesehenen Ausnahmen.
Für Kryptowert-Transfers sieht die Verordnung keinen allgemeinen Mindestschwellenwert vor: Die Informationspflichten gelten unabhängig vom Betrag und unabhängig davon, ob der Transfer inländisch oder grenzüberschreitend erfolgt. Dies unterscheidet sich etwa von der geltenden US-Bundesregel, wonach die Travel Rule grundsätzlich auf Geldtransfers ab 3.000 US-Dollar anwendbar ist.
Das Fehlen oder die Unvollständigkeit der erforderlichen Daten bedeutet nicht immer die automatische Beendigung der Geschäftsbeziehung. Der begünstigte CASP muss risikobasiert handeln: den Transfer ablehnen oder zurückweisen oder die fehlenden Informationen anfordern. Liefert ein anderer CASP systematisch nicht die erforderlichen Angaben, können künftige Transfers abgelehnt oder die Geschäftsbeziehung eingeschränkt oder beendet werden.
Artikel 37 Absatz 2 der Verordnung sieht vor, dass die Europäische Kommission eine gesonderte Risikobewertung von Transfers zu oder von self-hosted addresses sowie von Transaktionen mit nicht in der Union niedergelassenen Rechtsträgern erstellt. Die Möglichkeit weiterer Änderungen der Verordnung sollte nicht als bereits bestehendes Verbot dargestellt werden: Neue Beschränkungen können nur durch die Annahme entsprechender Rechtsakte entstehen.
Die „graue“ und „schwarze“ Liste der FATF
Stand 19. Juni 2026 wurden im Jahr 2026 Kuwait, Papua-Neuguinea, Bosnien und Herzegowina sowie der Irak in die Liste der Jurisdiktionen unter verstärkter Überwachung (die sogenannte „graue Liste“) aufgenommen. Algerien und Namibia wurden im Juni 2026 von dieser Liste gestrichen. Die Ukraine steht nicht auf der aktuellen „grauen Liste“.
Die Aufnahme eines Landes in die „graue Liste“ bedeutet nicht, dass die FATF eine automatische verstärkte Sorgfaltspflicht (Enhanced Due Diligence, EDD) für jeden Kunden oder jede mit dieser Jurisdiktion verbundene Transaktion verlangt. Die FATF fordert ausdrücklich einen risikobasierten Ansatz und die Berücksichtigung jurisdiktionsbezogener Informationen im Rahmen einer individuellen Risikobewertung.
Ein anderer Ansatz gilt für Hochrisiko-Jurisdiktionen, für die die FATF einen Call for Action erklärt hat. Stand 19. Juni 2026 gehören dazu Iran, die Demokratische Volksrepublik Korea und Myanmar. Für solche Jurisdiktionen fordert die FATF verstärkte Sorgfaltspflichten und in den schwerwiegendsten Fällen Gegenmaßnahmen.
Bedeutung für die Ukraine
Die Ukraine ist eine Jurisdiktion, die von MONEYVAL bewertet wird — dem FATF-ähnlichen regionalen Gremium im System des Europarats. Der Gesetzentwurf Nr. 10225-d zur Regulierung des Umlaufs virtueller Vermögenswerte wurde von der Werchowna Rada der Ukraine am 3. September 2025 in erster Lesung verabschiedet und befindet sich zum Zeitpunkt der Erstellung dieses Materials in Vorbereitung auf die zweite Lesung.
Bis zur endgültigen Fassung des Gesetzes lässt sich nicht im Voraus feststellen, wie genau die Autorisierungsbedingungen, Übergangsfristen und der vollständige Pflichtenkatalog für ukrainische Dienstleister aussehen werden. Für Unternehmen, die grenzüberschreitend tätig werden wollen, sind jedoch bereits jetzt die Kompatibilität mit den Verfahren ausländischer CASPs, die ordnungsgemäße Identifizierung von Vertragspartnern, Sanktionsprüfungen, Transaktionsüberwachung und die Bereitschaft zur Übermittlung von Travel-Rule-Daten praktisch bedeutsam, soweit das anwendbare Recht dies verlangt.
Praktische Schritte für Krypto-Unternehmen
Die Tätigkeitsjurisdiktionen bestimmen und eine gesonderte Matrix der anwendbaren FATF-, TFR-, MiCA-, AML/CFT-Vorschriften und Sanktionsregime erstellen. Die technische und organisatorische Bereitschaft zur sicheren Übermittlung von Travel-Rule-Daten prüfen. Ein Verfahren zur Überprüfung des Lizenz- oder Registrierungsstatus anderer VASPs/CASPs sowie zur Bewertung der Qualität ihrer AML/CFT-Kontrollen einführen.
Risikobasierte Maßnahmen auf Transfers mit self-hosted oder unhosted wallets anwenden, ohne die individuelle Risikobewertung durch ein automatisches Verbot zu ersetzen. Aktualisierungen der FATF-Listen regelmäßig verfolgen und dokumentieren, wie das jurisdiktionsbezogene Risiko in den Sorgfaltspflichtverfahren berücksichtigt wird. Zwischen verbindlichen rechtlichen Pflichten, FATF-Empfehlungen, erwarteten Gesetzesänderungen und eigenen freiwilligen internen Standards des Unternehmens unterscheiden.
Fazit
Das siebte gezielte FATF-Update schafft kein eigenständiges neues Regulierungsregime für Krypto-Unternehmen, bestätigt aber die allgemeine Entwicklungsrichtung der AML/CFT-Anforderungen: von der formalen Verabschiedung von Regeln hin zur Überprüfung ihrer tatsächlichen Umsetzung. Für Unternehmen kommt es nicht mehr nur auf das Vorhandensein interner Richtlinien an, sondern auf die Fähigkeit, die tatsächliche Funktionsweise der Verfahren und die technische Kompatibilität mit regulierten Vertragspartnern nachzuweisen.
Haftungsausschluss. Dieses Material hat einen allgemeinen informativ-analytischen Charakter, stellt keine individuelle Rechtsberatung dar und berücksichtigt nicht die Besonderheiten einer bestimmten Jurisdiktion, eines Geschäftsmodells oder einer Transaktion.
Quellen: FATF — Seventh Targeted Update on Implementation of the FATF Standards on Virtual Assets/VASPs (16. Juli 2026); FATF — The FATF Recommendations; Verordnung (EU) 2023/1113 über Angaben bei Geldtransfers und bestimmten Kryptowerten; FinCEN — Funds „Travel“ Regulations: Questions & Answers; FATF — Jurisdictions under Increased Monitoring (19. Juni 2026); FATF — High-Risk Jurisdictions subject to a Call for Action (19. Juni 2026); Werchowna Rada der Ukraine — Aktenkarte des Gesetzentwurfs Nr. 10225-d; Council of Europe — MONEYVAL: Ukraine; Chainalysis — 2026 Crypto Crime Report: Scams.