Krypto-Sanktionen 2026: Was sie für dich bedeuten

Am 19. Dezember 2024 kopierte ein Krypto-Trader eine Wallet-Adresse aus seinem Transaktionsverlauf und schickte fast 50 Millionen USDT dorthin. Die Adresse war eine Fälschung. Von Wochen kann keine Rede sein – Minuten zuvor hatte ein Betrüger im Verlauf des Traders eine täuschend ähnliche Adresse mit einer winzigen „Dust"-Transaktion platziert, eine gefälschte Adresse, die in den ersten fünf und den letzten vier Zeichen mit der echten übereinstimmte, in der Wette auf einen Copy-Paste-Fehler. Die Wette ging auf. Innerhalb einer halben Stunde tauschte der Angreifer die gesamte Summe in DAI, dann in rund 16.690 ETH, und schleuste sie durch Tornado Cash, den Mixer, um die Spur zu verwischen.

Sie bewegen keine fünfzig Millionen. Aber diese Geschichte enthält jeden Baustein des Sanktionsproblems, das ganz normale Menschen erreicht: kontaminiertes Geld wechselt ständig den Besitzer, es fließt durch dieselben Adressen, die Aufsichtsbehörden im Blick haben, und den Regeln, die den Kontakt mit diesen Adressen bestrafen, ist es ziemlich egal, ob Sie es so gemeint haben.

Sanktionen sind nicht nur ein Problem der Börsen

Die übliche Annahme lautet, Sanktionen seien Binances Kopfschmerz, nicht Ihrer. Das war nie so ganz wahr, und heute ist es noch weniger wahr.

Das Office of Foreign Assets Control des US-Finanzministeriums führt eine Liste blockierter Personen, Unternehmen und – seit 2018 – Krypto-Wallet-Adressen. Anfang 2025 umfasste diese Liste mehr als 1.200 Krypto-Adressen, ein Anstieg um 32 % gegenüber dem Vorjahr, verteilt über Bitcoin, Ethereum, Tron und die großen Stablecoins. Die an diese Adressen geknüpfte Regel ist unmissverständlich. Wenn Sie eine US-Person sind und mit einer davon eine Transaktion durchführen, haben Sie gegen das Sanktionsrecht verstoßen. Das OFAC verhängt zivilrechtliche Strafen auf Grundlage der strict liability, also einer verschuldensunabhängigen Haftung, und genau das übersehen die meisten. Absicht spielt keine Rolle. Eine Strafe kann Sie treffen, selbst wenn Sie keine Ahnung hatten, dass die Gegenpartei blockiert war.

Europa ist auf einem leiseren Weg ebenfalls dort angekommen. Seit dem 30. Dezember 2024 verpflichtet die neu gefasste EU-Geldtransferverordnung lizenzierte Krypto-Anbieter dazu, jeder Übertragung verifizierte Absender- und Empfängerinformationen beizufügen und beide Seiten in Echtzeit gegen die Sanktionslisten der EU, der UN und des OFAC zu prüfen. MiCA, das nun vollständig geltende Krypto-Regelwerk der EU, ist die Maschinerie, die dem Ganzen Biss verleiht. Das Übergangsfenster für Bestandsanbieter schließt am 1. Juli 2026.

Streicht man den Fachjargon, ist der Punkt einfach. Die Adressen, die den Aufsichtsbehörden am Herzen liegen, befinden sich auf denselben öffentlichen Ledgern wie Ihre Adressen. Es gibt kein separates Internet für schmutziges Geld.

Wie eine ganz normale Person tatsächlich damit in Berührung kommt

Niemand wacht mit dem Vorsatz auf, eine Transaktion mit der nordkoreanischen Lazarus Group durchzuführen. So gelangen kontaminierte Gelder zu Menschen, die nichts falsch gemacht haben.

• Sie erhalten Coins mit schlechter Vorgeschichte. Sie verkaufen etwas, oder jemand begleicht eine Schuld, und die Kryptowährung, die man Ihnen schickt, ist zwei Sprünge zuvor durch einen sanktionierten Mixer oder ein Cluster gestohlener Gelder gelaufen. Jetzt hat Ihre Adresse eine Verbindung dazu.
• Ein Dusting- oder Poisoning-Angriff. Angreifer streuen winzige Beträge von täuschend ähnlichen oder markierten Adressen in Tausende von Wallets. Die meisten sind Köder für Copy-Paste-Diebstahl, aber sie übersäen Ihren Verlauf auch mit Verbindungen, die Sie nie gewählt haben.
• Sie zahlen aus, und die Börse friert Sie ein. Das ist derjenige, der wirklich wehtut. Wenn Sie Gelder einzahlen, die das Screening einer Börse nicht mag, kann sie Ihr Konto bis zur Überprüfung sperren. Sie haben kein Verbrechen begangen, aber Ihr Geld steckt fest, und es liegt an Ihnen zu erklären, woher es stammt.

Das letzte Szenario ist nicht hypothetisch. Stablecoin-Emittenten frieren Adressen direkt ein, auf Token-Ebene, ohne gerichtliche Anordnung. Tether setzte allein im Jahr 2025 mehr als 4.100 Adressen auf die Blacklist und fror rund 1,26 Milliarden USD in USDT ein – Teil von über 3,29 Milliarden USD, die seit 2023 über 7.268 Adressen eingefroren wurden. Circle tat dasselbe in dem Moment, als Tornado Cash sanktioniert wurde, und fror das USDC ein, das in diesen blockierten Adressen lag. Wenn Ihre Coins auf einer Blacklist landen, können sie an Ort und Stelle unbenutzbar werden – genau dort, wo sie liegen, ohne dass es jemanden gibt, an den Sie appellieren könnten.

Die Tornado-Cash-Saga und warum die Kehrtwende kein Freibrief ist

Tornado Cash ist der Fall, auf den alle verweisen, und er ist verworrener, als die Schlagzeilen vermuten lassen.

Das OFAC sanktionierte den Mixer im August 2022 mit dem Vorwurf, er habe über 7 Milliarden USD gewaschen, darunter von der Lazarus Group gestohlene Gelder. Diese Einstufung machte die Smart Contracts des Protokolls für US-Personen tabu. Dann, am 26. November 2024, hob das Fifth Circuit Court of Appeals die Entscheidung in Van Loon v. Treasury auf. Seine Logik war eng und spezifisch: Die unveränderlichen Smart Contracts von Tornado Cash sind kein „Eigentum", das jemand besitzen oder kontrollieren kann, weshalb dem OFAC die Befugnis fehlte, sie zu sanktionieren. Das Finanzministerium nahm die Adressen am 21. März 2025 offiziell von der Liste.

Lesen Sie das als einen Sieg für Open-Source-Code, nicht als Erlaubnis. Denn im selben Zeitraum stand der Mitgründer des Mixers, Roman Storm, vor Gericht. Am 6. August 2025 sprach ihn eine Jury der Verschwörung zum Betrieb eines nicht lizenzierten Geldtransfergeschäfts schuldig. Bei den schwereren Anklagepunkten – Geldwäsche und Sanktionsverstoß – kam sie zu keinem Urteil, und das DOJ beantragte im März 2026 einen neuen Prozess. Die Software wurde also entsanktioniert, aber eine Person wurde dennoch dafür verurteilt, wie das Geld durch sie geflossen ist. Wenn Sie sich auf „ein Gericht hat gesagt, es sei in Ordnung" verlassen, lesen Sie die falsche Hälfte der Geschichte.

Lazarus Group: Sanktionen, die am Geld kleben, nicht am Logo

Wenn Tornado Cash die juristische Grauzone zeigt, dann zeigt die nordkoreanische Lazarus Group die Durchsetzungsrealität.

Am 21. Februar 2025 zapfte Lazarus rund 1,5 Milliarden USD in Ethereum von der Börse Bybit ab – der größte dokumentierte Krypto-Diebstahl. Das FBI führte ihn innerhalb weniger Tage auf Nordkorea zurück, bezeichnete die Aktivität als „TraderTraitor", veröffentlichte 51 Wäscheadressen und bat jede Börse, jede Bridge und jedes Analyseunternehmen der Welt, alles zu blockieren, was daraus abgeleitet ist. Rund 160 Millionen USD waren innerhalb der ersten 48 Stunden bereits durch frische Wallets gewaschen worden.

Und hier ist der Teil, der für Sie zählt: Die Werkzeuge sterben nicht, wenn sie benannt werden. Das OFAC sanktionierte den Mixer Blender.io im Mai 2022 wegen der Wäsche von Lazarus-Geldern und beschlagnahmte ihn. Dieselben Betreiber, so schlossen Branchenanalysten, zogen einfach einen Nachfolger hoch – Sinbad.io – und machten weiter, bis das OFAC auch diesen sanktionierte und die Behörden im November 2023 seine Server beschlagnahmten.

Die Lehre ist, dass sanktionierte Operationen ein Rebranding durchlaufen, die kontaminierten Gelder aber unter neuen Namen weiter zirkulieren. Sie können eine Gegenpartei nicht überprüfen, indem Sie kontrollieren, ob Sie die Marke wiedererkennen. Das Risiko reist mit den Coins.

Einfache Gewohnheiten, die Sie sauber halten

Sie brauchen keine Compliance-Abteilung. Sie brauchen ein paar langweilige Gewohnheiten.

Prüfen Sie, bevor Sie akzeptieren. Wenn ein Kunde, Käufer oder eine Gegenpartei Sie gleich in Krypto bezahlen will, gleichen Sie die zahlende Wallet zuerst gegen Sanktions- und Mixer-Exposition ab – das dauert Sekunden und ist weitaus günstiger als ein eingefrorenes Konto. Genau dafür haben wir den sofortigen Wallet-Risiko-Check gebaut: Adresse einfügen, die Flags sehen, entscheiden, bevor das Geld ankommt.

Darüber hinaus: Kopieren Sie niemals blind eine Adresse aus Ihrem Transaktionsverlauf – tippen Sie sie neu ab oder verwenden Sie einen gespeicherten, verifizierten Kontakt, was Poisoning schlicht ins Leere laufen lässt. Halten Sie eine saubere Wallet getrennt von allem Experimentellen, damit eine einzige schlechte Einzahlung nicht Ihren Hauptbestand kontaminiert. Bewahren Sie Rechnungen und Chatverläufe auf; sollte eine Börse Sie je einfrieren, ist ein zeitnaher Nachweis darüber, woher die Gelder stammten, Ihr schnellster Ausweg. Und behandeln Sie unaufgefordert eintreffenden Dust als radioaktiv – interagieren Sie nicht mit Token, die aus dem Nichts auftauchen.

Nichts davon macht Sie zum Experten für kriminelle Finanzen. Es macht Sie zu jemandem, der nachgesehen hat. Im Jahr 2026, mit verschuldensunabhängiger Haftung auf der einen Seite und automatisierten Blacklists auf der anderen, ist Nachsehen das ganze Spiel. Diejenigen, die sich die Finger verbrennen, sind fast nie die, die zuerst hingeschaut haben.