FATF-DeFi-Bericht: 93 Prozent der Staaten setzen Regeln nicht um

Der neue FATF-DeFi-Bericht zeigt eine deutliche Umsetzungslücke: 132 von 143 befragten Jurisdiktionen haben die internationalen Standards noch auf keine einschlägige DeFi-Struktur angewandt. Nur zwei von 142 Jurisdiktionen haben nach Angaben der Financial Action Task Force (FATF) bislang eine solche Struktur tatsächlich registriert oder lizenziert. Der am 21. Juli 2026 veröffentlichte Bericht fordert deshalb eine genauere Prüfung, wer ein vermeintlich dezentrales Angebot kontrolliert oder maßgeblich beeinflusst.

Das bedeutet weder, dass DeFi weltweit verboten wird, noch dass jedes Smart-Contract-Protokoll automatisch ein regulierter Finanzdienstleister ist. Entscheidend ist nach dem offiziellen FATF-Bericht, ob eine natürliche oder juristische Person Kontrolle oder ausreichenden Einfluss ausübt. Decrypt berichtete unabhängig über die Ergebnisse und ordnete die praktische Regulierungslücke ein.

FATF-DeFi-Bericht: Die wichtigsten Zahlen

• 132 von 143 Jurisdiktionen: Fast 93 Prozent haben die FATF-Standards noch auf keine einschlägige DeFi-Struktur angewandt.
• Zwei von 142 Jurisdiktionen: Nur zwei meldeten, eine solche Struktur tatsächlich registriert oder lizenziert zu haben.
• Mehr als 70 Prozent: Auf die 20 größten DeFi-Protokolle entfällt laut FATF-Schätzung dieser Anteil der gesamten DeFi-Aktivität.
• Rund 60 Prozent: Nordamerika und Europa vereinen nach den im Bericht verwendeten Daten ungefähr diesen Anteil der weltweiten DeFi-Transaktionen.
• Mehr als 570 Millionen Dollar: Zwei Nordkorea zugeschriebene Angriffe im April 2026 machten laut FATF etwa 76 Prozent der bis dahin im Jahr erfassten Verluste durch Hacks virtueller Assets aus.

Die Zahlen stammen aus unterschiedlichen Erhebungen und Schätzungen im FATF-Bericht. Sie beschreiben keine vollständige Onchain-Inventur aller Protokolle. Besonders die 93-Prozent-Angabe misst die gemeldete Anwendung der FATF-Standards auf qualifizierende DeFi-Strukturen, nicht den allgemeinen Stand jeder nationalen Krypto-Regulierung.

Wer die technischen Grundlagen, Liquiditätspools und Governance-Modelle zuerst einordnen möchte, findet im Überblick DeFi im Jahr 2026 den passenden Hintergrund. Der FATF-Bericht setzt darauf auf, behandelt aber gezielt Geldwäsche- und Terrorismusfinanzierungsrisiken sowie die Frage nach verantwortlichen Akteuren.

Wann DeFi laut FATF kontrolliert ist

Die FATF betrachtet nicht allein den technischen Unterbau. Ein Protokoll kann Smart Contracts und eine dezentrale Benutzeroberfläche nutzen, während einzelne Personen oder Unternehmen weiterhin wesentliche Entscheidungen treffen. Für die Einordnung sollen Behörden deshalb Onchain- und Offchain-Indikatoren zusammenführen.

• Administrative Rechte: Wer kann Verträge pausieren, Parameter ändern oder Notfallfunktionen auslösen?
• Upgrades: Wer kontrolliert Upgrade-Schlüssel oder entscheidet über neue Vertragsversionen?
• Governance: Sind Stimmrechte breit verteilt oder bei wenigen Tokenhaltern konzentriert?
• Wirtschaftlicher Nutzen: Wer erhält Gebühren, Belohnungen oder andere erhebliche Vorteile aus dem Betrieb?
• Infrastruktur: Wer kontrolliert Website, Frontend, Entwicklungsteam, Treasury oder zentrale Zugangswege?

Kein einzelner Punkt beantwortet die Frage automatisch. Die FATF fordert eine Gesamtbetrachtung von Kontrolle und ausreichendem Einfluss. Ein unveränderlicher Smart Contract ohne identifizierbare Leitung unterscheidet sich damit regulatorisch von einem Angebot, dessen Betreiber Gebühren festlegt, Upgrades freigibt und den wichtigsten Zugang kontrolliert.

Wie unterschiedlich DeFi-Produkte praktisch organisiert sein können, zeigt der Start von Morpho Midnight mit Festzinskrediten auf Base. Der interne Beitrag erklärt Produktstruktur, Laufzeiten und Abwicklungsrisiken. Er ist kein Beispiel für eine FATF-Einstufung; er verdeutlicht vielmehr, warum konkrete Rollen und technische Befugnisse statt des Etiketts „dezentral“ geprüft werden müssen.

Was 93 Prozent ohne Umsetzung bedeutet

Die FATF setzt internationale Standards gegen Geldwäsche, Terrorismus- und Proliferationsfinanzierung. Ihre Empfehlungen sind jedoch kein unmittelbar für Nutzer geltendes Weltgesetz. Staaten und andere Jurisdiktionen müssen sie in ihre jeweiligen Gesetze, Aufsichtsverfahren und Risikomodelle übertragen.

Genau an dieser Stelle liegt die gemeldete Lücke. Viele Behörden haben noch nicht bewertet, welche DeFi-Strukturen unter die Regeln für Virtual Asset Service Provider fallen, welche Person verantwortlich ist und wie eine wirksame Aufsicht technisch umgesetzt werden kann. Nur 26 von 142 befragten Jurisdiktionen hatten laut der unabhängigen Zusammenfassung überhaupt eine DeFi-Risikobewertung vorgenommen; diese Detailzahl ordnet die Anwendungslücke zusätzlich ein.

Die geringe Zahl tatsächlicher Registrierungen beweist umgekehrt nicht, dass alle übrigen Protokolle unzulässig oder kriminell sind. Sie zeigt, dass Klassifizierung, Zuständigkeit und Aufsicht in der Praxis noch selten zusammenkommen. Nationale Regeln können zudem schon heute Pflichten auslösen, auch wenn eine Behörde sie nicht ausdrücklich unter dem DeFi-Begriff führt.

Welche Folgen Anbieter und Nutzer erwarten können

Für identifizierbare Betreiber steigt der Druck, ihre tatsächlichen Befugnisse zu dokumentieren. Dazu gehören Governance-Strukturen, Schlüsselverwaltung, Gebührenflüsse, Frontend-Kontrolle und Beziehungen zu Entwicklern oder finanzierenden Unternehmen. Wer wesentlichen Einfluss ausübt, kann sich nach FATF-Logik nicht allein auf eine dezentrale Außendarstellung berufen.

Finanzinstitute und Kryptodienstleister sollen bei Kontakten mit DeFi-Strukturen risikobasiert prüfen, ob einschlägige FATF-Empfehlungen eingehalten werden. Die FATF nennt dabei insbesondere Kundenprüfung, neue Technologien und Korrespondenzbeziehungen. Wenn die Standards nicht eingehalten werden können, sollen regulierte Unternehmen laut Primärquelle von der Interaktion mit der betreffenden Struktur absehen.

Für Nutzer folgt daraus keine pauschale Aufforderung, Positionen zu schließen. Mögliche praktische Effekte hängen von der späteren nationalen Umsetzung ab: Frontends könnten Zugangsprüfungen einführen, Börsen könnten Ein- oder Auszahlungen genauer kontrollieren, und Anbieter könnten bestimmte Regionen ausschließen. Das sind mögliche Umsetzungspfade, keine bereits weltweit beschlossenen Maßnahmen.

Risiken, Grenzen und offene Fragen

• Zurechnung: Bei globalen Entwicklergruppen und verteilter Governance bleibt strittig, wann Einfluss für eine regulatorische Verantwortung ausreicht.
• Technische Umgehung: Eine gesperrte Benutzeroberfläche beendet nicht zwangsläufig den Zugriff auf frei erreichbare Smart Contracts.
• Fragmentierung: Unterschiedliche nationale Auslegung kann zu regionalen Sperren und uneinheitlichen Pflichten führen.
• Datenschutz: Identitäts- und Transaktionsprüfungen müssen mit Datenschutz, IT-Sicherheit und der Funktionsweise selbstverwalteter Wallets vereinbar sein.
• Innovationsrisiko: Zu pauschale Regeln könnten offene Softwareentwicklung treffen, obwohl die FATF ausdrücklich einen risikobasierten Ansatz verlangt.

Der Bericht macht außerdem deutlich, warum die Debatte nicht nur theoretisch ist. Kriminelle Akteure nutzen laut FATF Chain-Hopping, Bridges, dezentrale Börsen, Mixer und Governance-Manipulation, um Geldströme zu verschleiern. Zugleich darf die Zuordnung von Angriffen oder Geldwäsche nicht auf bloßen Vermutungen beruhen. Konkrete Schadenszahlen und Täterzuordnungen bleiben abhängig von Ermittlungsstand, Datenquelle und Methodik.

Fazit zum FATF-DeFi-Bericht

Der FATF-DeFi-Bericht liefert vor allem einen Realitätscheck für das Wort „dezentral“. Wo Personen Upgrades, Gebühren, Frontends oder konzentrierte Stimmrechte kontrollieren, sollen Behörden die tatsächliche Machtverteilung prüfen und nicht nur die technische Selbstbeschreibung übernehmen.

Die größte Nachricht ist die Umsetzungslücke: Fast 93 Prozent der befragten Jurisdiktionen haben die Standards noch auf keine einschlägige DeFi-Struktur angewandt. Was daraus für einzelne Protokolle und Nutzer folgt, entscheidet sich erst durch nationale Gesetze, Behördenpraxis und konkrete Kontrollverhältnisse. Stand der Recherche ist der 22. Juli 2026, 17:35 Uhr CEST. Dieser Beitrag ist keine Rechts- oder Anlageberatung.

Quellen

• Financial Action Task Force: FATF urges action to respond to emerging risks from Decentralised Finance, 21. Juli 2026 (Primärquelle mit Bericht, Kennzahlen und Empfehlungen).
• Decrypt: Centralized Elements Frequently Persist in DeFi and Should Be Regulated, 22. Juli 2026 (unabhängige Sekundärquelle zur Einordnung).