FATF-PPP-Bericht: Krypto-AML-Lücken, die Unternehmen jetzt schließen müssen
Die Financial Action Task Force veröffentlichte im Juli 2026 ihren wegweisenden Bericht über öffentlich-private Partnerschaften (PPPs) bei der Bekämpfung von Finanzkriminalität und die Kernaussage für jedes Unternehmen, das mit digitalen Vermögenswerten umgeht, ist unangenehm: Die Kryptoindustrie bleibt in genau die Netzwerke unterintegriert, die Aufsichtsbehörden und Strafverfolgungsbehörden nun als Frontlinie der AML-Abwehr betrachten. Für Wirtschaftsprüfungsgesellschaften, Wirtschaftsprüfer und CFOs, deren Kunden mit Krypto zu tun haben, ist diese Erkenntnis keine hintergründige politische Kuriosität. Es ist ein Frühindikator dafür, wohin sich die Aufsichtserwartungen als nächstes entwickeln werden.
Was der FATF-Bericht tatsächlich festgestellt hat
Der FATF-Bericht katalogisierte mindestens 84 PPPs, die in allen Regionen der Welt tätig sind, Arrangements, durch die Regierungen und private Organisationen Informationen und Fähigkeiten austauschen, um Finanzkriminalität zu erkennen und zu unterbrechen. Die Zahl klingt beträchtlich. Die Qualität variiert jedoch enorm.
Ein Spektrum von beratend bis operativ
FATF beschreibt diese Partnerschaften auf einem Spektrum. Am einen Ende sitzen Beratungsforen: Gremien, die sich regelmäßig treffen, um Typologien, Trenddaten und rote Flaggen auf Branchenebene auszutauschen. Am anderen Ende befindet sich die vollständige operative Zusammenarbeit, bei der öffentliche und private Analysten Live-Fälle gemeinsam gegen benannte Subjekte bearbeiten und bei der die Zusammenarbeit grenzüberschreitend ist, um kriminelle Netzwerke zwischen Jurisdiktionen zu verfolgen.
Die offene Schlussfolgerung des Berichts ist, dass die meisten PPPs am seichteren Ende clustern. Die tiefere, fallbezogene Arbeit bleibt durch Datenschutzgesetze, Bankgeheimnisregelungen und rechtliche Unsicherheit über die Befugnis zum Informationsaustausch überhaupt eingeschränkt. Der Kryptosektor wird speziell als selbst in dieser bereits begrenzten Landschaft unterintegriert identifiziert.
Warum Krypto zurückhängt
Die Gründe, die der Bericht nennt, sind Compliance-Experten vertraut: Krypto-spezifische Typologien sind neuer und weniger gut verstanden in Behörden; Blockchain-Daten erfordern spezialisierte Fähigkeiten, die die meisten öffentlichen Stellen noch aufbauen; und die rechtlichen Tore, die den Austausch personenbezogener Daten ermöglichen, wurden entworfen, bevor Krypto ein wesentlicher Vektor der Finanzkriminalität war. Die Lücke zwischen dem, wo der Sektor ist, und dem, wo FATF ihn haben will, ist real, und die Reiserichtung des Berichts zielt darauf ab, sie in den nächsten zwei Jahren zu schließen.
Großbritannien als operativer Testfall
FATF erkennt sowohl dauerhafte Strukturen als auch zeitlich begrenzte Übungen ausdrücklich als legitime Formen von PPPs an. Großbritannien arbeitet bereits am fortgeschritteneren, operativen Ende dieses Spektrums durch die Crypto Cash Fusion Cell (CCFC), eine gemeinsame Initiative, die Strafverfolgungsbehörden, Aufsichtsbehörden und private Partner zusammenbringt, um die kriminelle Nutzung von Kryptowerten zu unterbrechen.
Wie operative Zusammenarbeit in der Praxis funktioniert
Das CCFC-Modell ist lehrreich, um zu verstehen, was FATF als Best Practice betrachtet. Anstatt Berichte auszutauschen oder an Foren teilzunehmen, arbeiteten private Analysten direkt in Echtzeit mit ihren behördlichen Kollegen zusammen. Diese Nähe bedeutete, dass Fragen zu On-Chain-Daten noch am selben Tag beantwortet werden konnten, Analysescripts sofort erstellt und iteriert werden konnten und OFSI-Sanktionsdaten in derselben Sitzung mit Blockchain-Intelligenz zu sanktionierten Einheiten abgeglichen werden konnten. Arbeiten, die zuvor Tage gedauert hätten, wurden auf Stunden komprimiert.
Das Ergebnis dieses speziellen Sprints war die Erstellung von Einfrierungsanordnungen, ein konkretes Durchsetzungsergebnis und keine politische Empfehlung. Das ist die Verschiebung, von der FATF sagt, dass ihre Mitglieder sie replizieren sollen: vom Beratungsforum zur Wallet-Einfrierungsanordnung.
Für Wirtschaftsprüfungsgesellschaften, die regulierte Kryptounternehmen beraten, ist dies ein Signal, das sorgfältig abgelegt werden sollte. Der CCFC wird im Bericht als Pilotprojekt beschrieben, nicht als ständiges Gremium. Die explizite Richtung ist, diese Art der Zusammenarbeit zur Routine zu machen. Wenn es Routine wird, werden die regulierten Unternehmen, die Daten einspeisen, einschließlich Virtual Asset Service Provider (VASPs) und jedes Finanzinstitut mit Krypto-Exposure, erhöhten Erwartungen an Datenqualität, Aufzeichnungen und Transaktionsüberwachungsgeschwindigkeit gegenüberstehen.
Grenzüberschreitender Kapazitätsaufbau: Wesentlich, aber unterentwickelt
Der Bericht identifiziert den grenzüberschreitenden Kapazitätsaufbau als grundlegend für effektive PPPs, gleichzeitig aber als eine der am wenigsten entwickelten Formen der Zusammenarbeit, die es derzeit gibt. Diese Paarung ist für globale Unternehmen von Bedeutung.
Schulung über Jurisdiktionen hinweg
Ein Beispiel, das der Bericht hervorhebt, ist die regionale Schulung von Strafverfolgungsbeamten in mehreren asiatisch-pazifischen Ländern, die Analysten aus 11 Jurisdiktionen zusammenbrachte, um zu verstehen, wie Blockchain-Daten Betrugskomplex-Ökosysteme aufdecken und Kryptowertflüsse zu bestimmten Akteuren innerhalb dieser Netzwerke verfolgen können. Der FATF-Bericht bezeichnet diese Art von grenzüberschreitendem Kompetenztransfer als sowohl wesentlich als auch selten.
Für Wirtschaftsprüfungsgesellschaften mit Kunden, die in Großbritannien, der EU und darüber hinaus tätig sind, bedeutet dies, dass die regulatorische Untergrenze in Jurisdiktionen, die zuvor keine Blockchain-Ermittlungskapazität hatten, aktiv angehoben wird. Ein VASP oder ein Krypto-exponiertes Finanzinstitut, das vor zwei Jahren mit seinen AML-Kontrollen in einer Jurisdiktion mit geringerer Kapazität zufrieden war, könnte feststellen, dass dieselben Kontrollen einer viel schärferen Prüfung unterzogen werden, wenn lokale Behörden ihre Fähigkeiten genau durch diese PPP-Schulungsprogramme aufbauen.
Datenschutz als Architektur, nicht als Hindernis
Die Spannung beim Datenaustausch, die im Mittelpunkt des FATF-Berichts steht, verdient besondere Aufmerksamkeit von Compliance-Beauftragten und den Beratern, die sie betreuen. Mehr als die Hälfte der befragten Jurisdiktionen nannte Datenschutzbestimmungen als ihr Haupthindernis für den Informationsaustausch und stuften es über das Bankgeheimnis und unklare rechtliche Tore ein. Diese Zahl spiegelt ein echtes strukturelles Problem wider, aber die Schlussfolgerung des Berichts ist differenziert.
Gestaltung für Privatsphäre innerhalb von PPPs
Die Partnerschaften, die auf operativer Ebene effektiv funktionieren, behandeln Datenschutz nicht als Hindernis, das umgangen werden muss. Sie gestalten ihre Architektur des Informationsaustauschs von Anfang an so, dass sie diesen einhalten, arbeiten innerhalb etablierter rechtlicher Tore, unter Need-to-Know-Zugangskontrollen und mit Vertraulichkeitszusagen, die regeln, wie geteilte Informationen nachgelagert verwendet werden können.
Blockchain-Intelligenz ist ein natürlicher Kandidat für dieses Modell. Ein erhebliches Volumen analytischer Arbeit kann mit Daten durchgeführt werden, die bereits öffentlich on-chain sind, bevor überhaupt personenbezogene Daten ausgetauscht werden. Die Fähigkeit, Verbindungen zwischen Wallet-Adressen herzustellen, Transaktionsflüsse zu verfolgen und Unternehmensbeziehungen aus öffentlichen Hauptbuchdaten zu kartieren, bedeutet, dass ein Großteil des Intelligenzbildes zusammengestellt werden kann, ohne Datenschutzverpflichtungen auszulösen, die für den Austausch personenbezogener Daten off-chain gelten würden.
Für CFOs und Compliance-Leiter hat dies eine direkte praktische Implikation. Wenn Ihr Unternehmen in eine PPP einbezogen wird, sei es durch eine behördliche Aufforderung, eine Kontaktaufnahme mit Strafverfolgungsbehörden oder eine gemeinsame Typologieübung, wird die Rechtsgrundlage für alle von Ihnen geteilten Informationen wichtig sein. Unternehmen, die bereits ihre rechtlichen Tore für den Datenaustausch kartiert, ihre Need-to-Know-Zugangskontrollen dokumentiert und verstanden haben, welche ihrer Analyseergebnisse aus öffentlichen Blockchain-Daten versus personenbezogenen Daten stammen, werden in einer weitaus stärkeren Position sein als solche, die dies nicht getan haben.
Der britische FATF-Vorsitz und was als nächstes kommt
Der Zeitpunkt dieses Berichts ist nicht zufällig. Großbritannien hat am 1. Juli 2026 den FATF-Vorsitz übernommen, und der Informationsaustausch durch PPPs ist ausdrücklich unter den erklärten Prioritäten des Vorsitzes aufgeführt. Betrug, der im Bericht als die Bedrohung identifiziert wird, die weltweit am schnellsten neue Partnerschaften vorantreibt, ist ein weiterer Prioritätsbereich.
Auswirkungen auf regulierte Unternehmen in Großbritannien und der EU
Die Kombination aus britischer FATF-Führung und einem aktiven operativen Pilotprojekt im CCFC bedeutet, dass die in London getesteten Standards wahrscheinlich die FATF-Empfehlungen an ihre vollständige Mitgliedschaft in den nächsten zwei Jahren beeinflussen werden. Britisch regulierte VASPs und Finanzinstitute mit Krypto-Exposure arbeiten de facto in einem Testfeld für die nächste Generation globaler AML-Erwartungen.
EU-regulierte Unternehmen stehen vor einer parallelen Entwicklung. Die AML-Behörde (AMLA) beginnt ab 2025 mit der direkten Aufsicht ausgewählter Krypto-Unternehmen, und das breitere EU-AML-Paket baut Datenaustauschverpflichtungen in seine Aufsichtsarchitektur ein. Die Betonung des FATF-Berichts auf die Gestaltung von PPPs im Einklang mit dem Datenschutzrecht und nicht trotz ihm, deckt sich eng mit der erwarteten Herangehensweise der AMLA an den Informationsaustausch zwischen nationalen Aufsichtsbehörden, Financial Intelligence Units und privaten Unternehmen im Rahmen des neuen EU-Rahmens.
Unternehmen, die Krypto-Accounting-Software zur Führung von Transaktionsaufzeichnungen verwenden, müssen prüfen, ob diese Aufzeichnungen so strukturiert sind, dass sie einen schnellen, rechtskonformen Informationsaustausch unterstützen, wenn eine Aufsichtsbehörde oder Strafverfolgungsbehörde ihn anfordert. Eine gut strukturierte Prüfspur mit Wallet-Adressen, Gegenpartei-Identifikatoren, Transaktions-Hashes und Zeitstempeln, die einheitlich aufgezeichnet werden, ist nicht nur eine gute Buchhaltungspraxis, sondern auch das Rohmaterial jedes produktiven PPP-Engagements. Unternehmen, die auf fragmentierte oder manuelle Aufzeichnungen angewiesen sind, werden Schwierigkeiten haben, in dem Tempo zu reagieren, das das CCFC-Modell und die Reiserichtung des Berichts jetzt implizieren. Verwandt: siehe unseren Hinweis zur CSSF-Warnung zu unlizenzierten Krypto-Betreibern, wie regulatorische Lücken ohne Vorwarnung zu Durchsetzungsmaßnahmen führen können.
Praktische Schritte für Wirtschaftsprüfungsgesellschaften und CFOs
Der FATF-Bericht schafft keine unmittelbaren neuen rechtlichen Verpflichtungen. Aber er kartiert die Richtung der Aufsichtsentwicklung mit ungewöhnlicher Klarheit, und Wirtschaftsprüfungsgesellschaften, die Krypto-exponierte Kunden beraten, sollten diesen Kunden jetzt helfen, sich vorzubereiten, anstatt später zu reagieren.
Wichtige Maßnahmen vor Jahresende
Erstens, überprüfen Sie die Transaktionsüberwachungsabdeckung für Kryptowerte. Wenn die Überwachung Ihres Kunden nur auf traditionelle Zahlungsströme kalibriert ist, lösen die Typologien, die FATF von PPPs adressieren lassen will, einschließlich Betrugskomplex-Netzwerke, Sanktionsumgehung und grenzüberschreitendes Layering, möglicherweise keine Alarme aus.
Zweitens, kartieren Sie die verfügbaren rechtlichen Tore für den Informationsaustausch. Unternehmen, die unter UK FSMA, EU-AML-Richtlinien oder beiden tätig sind, müssen wissen, welche Tore existieren, welche Bedingungen an ihre Nutzung geknüpft sind und welche Mitarbeiter befugt sind, auf sie zu reagieren. Diese Kartierung sollte dokumentiert sein, bevor eine Anfrage eingeht, nicht währenddessen.
Drittens, bewerten Sie die Aufzeichnungsqualität anhand des operativen Standards, den das CCFC-Modell impliziert. Wenn morgen eine Anfrage für alle Transaktionen mit einer bestimmten Gegenpartei oder Wallet-Adresse in den letzten drei Jahren eingehen würde, könnte Ihr Team diese Daten in Stunden produzieren? Wenn nicht, ist die Lücke zwischen Ihrer aktuellen Aufzeichnungsstruktur und dem impliziten Standard jetzt zu schließen.
Viertens, setzen Sie sich mit dem breiteren MiCA- und EU-AML-Paket zu Datenpflichten auseinander. Die MiCA-Lizenzierungspflichten für Krypto-Verwahrer enthalten bereits Aufzeichnungs- und Berichtserwartungen, die erheblich mit dem überlappen, was eine effektive PPP-Teilnahme erfordert. Die Behandlung dieser als eine einzige Compliance-Übung anstatt als separate Arbeitsstränge reduziert Doppelarbeit und schafft eine kohärentere Kontrollumgebung.
Häufig gestellte Fragen
Was ist der FATF-PPP-Bericht und warum ist er für Krypto-Unternehmen wichtig?
FATF veröffentlichte im Juli 2026 seine Überprüfung öffentlich-privater Partnerschaften bei der Bekämpfung von Finanzkriminalität. Er katalogisiert 84 Partnerschaften weltweit und identifiziert den Kryptosektor als unterintegriert in diese Netzwerke. Der Bericht ist wichtig, weil er signalisiert, wohin sich die Aufsichtserwartungen für VASPs und Krypto-exponierte Finanzinstitute in den nächsten zwei Jahren entwickeln werden.
Was ist die Crypto Cash Fusion Cell und was hat sie hervorgebracht?
Der CCFC ist eine britische Initiative, die Strafverfolgungsbehörden, Aufsichtsbehörden und private Partner zusammenbringt, um die kriminelle Nutzung von Kryptowerten zu unterbrechen. In mindestens einer zeitlich begrenzten Übung verglichen CCFC-Teilnehmer OFSI-Sanktionsdaten mit Blockchain-Intelligenz zu sanktionierten Einheiten, verfolgten Transaktionen zu britisch regulierten Börsen und erstellten Einfrierungsanordnungen als konkretes Durchsetzungsergebnis.
Wie wirkt sich das Datenschutzrecht auf den Krypto-Informationsaustausch in PPPs aus?
Mehr als die Hälfte der von FATF befragten Jurisdiktionen nannte Datenschutzbestimmungen als ihr Haupthindernis für den Austausch. Der Bericht schlussfolgert, dass effektive PPPs ihre Architektur so gestalten, dass sie von Anfang an dem Datenschutzrecht entsprechen, innerhalb rechtlicher Tore und Zugangskontrollen arbeiten. Blockchain-Intelligenz, die aus öffentlichen On-Chain-Daten abgeleitet wird, kann oft geteilt werden, bevor personenbezogene Datenpflichten ausgelöst werden, was sie zu einem natürlichen Kandidaten für konformen PPP-Informationsaustausch macht.
Was bedeutet der britische FATF-Vorsitz für Compliance-Zeitpläne?
Großbritannien übernahm den FATF-Vorsitz am 1. Juli 2026 mit PPPs und Betrug unter seinen erklärten Prioritäten. Standards, die durch britische Initiativen wie den CCFC pilotiert werden, werden wahrscheinlich die FATF-Empfehlungen an ihre vollständige Mitgliedschaft während der Vorsitzperiode beeinflussen und damit effektiv den Benchmark setzen, an dem andere Jurisdiktionen gemessen werden.
Welche Änderungen bei der Aufzeichnung sollten Unternehmen als Reaktion auf diesen Bericht vornehmen?
Unternehmen sollten sicherstellen, dass Transaktionsaufzeichnungen Wallet-Adressen, Gegenpartei-Identifikatoren, Transaktions-Hashes und Zeitstempel in einem strukturierten und durchsuchbaren Format enthalten. Digital-Asset-Accounting-Software, die diese Daten konsistent erfasst, ermöglicht es, auf behördliche oder strafrechtliche Anfragen in dem Tempo zu reagieren, das operative PPPs jetzt implizieren. Manuelle oder fragmentierte Aufzeichnungen schaffen sowohl Compliance-Risiko als auch Reputationsrisiko, wenn eine Anfrage nicht zeitnah erfüllt werden kann.
Quelle: Elliptic