Die Zeiten, in denen Sanktions-Compliance für Krypto-Unternehmen ein Randthema war, sind endgültig vorbei. Der Blockchain-Analytics-Anbieter Elliptic zeigt in seinem neuesten Report, dass sich die Durchsetzung von Sanktionen im Kryptobereich seit 2023 dramatisch beschleunigt hat – mit einem vorläufigen Höhepunkt im Oktober 2025. Für Schweizer Krypto-Unternehmen, Börsen und Finanzdienstleister lohnt sich ein genauer Blick auf die aktuellen Entwicklungen.
Eine beispiellose Verschärfung
Die Eskalation begann im November 2023, als die US-Sanktionsbehörde OFAC den Bitcoin-Mixer Sinbad.io sanktionierte – vermutlich ein Nachfolgeprojekt des bereits gesperrten Mixers Blender.io, das unter anderem der nordkoreanischen Lazarus-Gruppe zur Geldwäsche diente.
2024 folgte eine Welle von Massnahmen gegen russische Sanktionsumgehungs-Infrastruktur, darunter die Sanktionierung des TGR-Netzwerks in Zusammenarbeit mit der britischen National Crime Agency. Die Ermittlungen zeigten, wie US-Dollar-Stablecoins genutzt wurden, um Vermögen sanktionierter russischer Eliten zu waschen.
2025 überschlugen sich dann die Ereignisse:
- Februar 2025: Die Lazarus-Gruppe stiehlt rund 1,5 Milliarden US-Dollar in Ether von der Börse Bybit – der grösste Krypto-Diebstahl der Geschichte.
- August 2025: OFAC sanktioniert die russische Börse Garantex erneut sowie das Nachfolgenetzwerk hinter dem rubelgedeckten Stablecoin A7A5.
- Oktober 2025: Die bislang grösste kryptobezogene Sanktionsaktion überhaupt – gegen die Prince Group Transnational Criminal Organization, verbunden mit einer Bitcoin-Beschlagnahmung von 15 Milliarden US-Dollar und der Sanktionierung von 146 Personen und Organisationen.
Seit 2017 haben nordkoreanische Cyberakteure laut Elliptic über 6 Milliarden US-Dollar in Kryptowerten gestohlen – Geld, das primär in Massenvernichtungswaffen- und Raketenprogramme fliesst.
Fünf Handlungsfelder für Compliance-Teams
Elliptic strukturiert seine Empfehlungen entlang von fünf Kernbereichen, die Krypto-Unternehmen abdecken sollten:
1. Effektives Blockchain-Monitoring und ganzheitliches Screening Klassische, „legacy“ Screening-Lösungen prüfen Adressen oft nur pro Asset – also zum Beispiel nur USDC gegen USDC-Sanktionslisten. Das Problem: Sanktionierte Akteure nutzen zunehmend DEXs und Cross-Chain-Bridges, um Assets und Chains zu wechseln. Ohne holistisches, asset- und chain-übergreifendes Screening bleiben solche Verbindungen unentdeckt. Nach dem Bybit-Hack wurden laut Elliptic rund 85 % der gestohlenen Gelder (ca. 1,2 Milliarden US-Dollar) über THORChain gewaschen – ein Beispiel dafür, wie Cross-Chain-Protokolle für Verschleierung genutzt werden.
2. Länderrisiken managen Neben der direkten Prüfung gegen Sanktionslisten braucht es Sensibilität für indirekte Risiken: Transaktionen mit Börsen oder Minern in Hochrisikoländern wie Russland, Iran, Nordkorea oder Venezuela. Der Fall Garantex zeigt, wie hartnäckig solche Netzwerke sind – trotz Sanktionierung 2022 wickelte die Börse bis zu ihrer Zerschlagung 2025 über 60 Milliarden US-Dollar an Transaktionen ab, bevor die Aktivität auf Nachfolgeplattformen wie Grinex und den Stablecoin A7A5 abwanderte.
3. Red Flags kennen Die US-Behörde FinCEN hat bereits 2022 typische Warnsignale definiert – etwa Transaktionen mit OFAC-gelisteten Adressen, Verbindungen zu Börsen in Hochrisikojurisdiktionen oder die Nutzung von Mixing-Diensten. Elliptic ergänzt weitere Indikatoren, etwa Login-Versuche mit IP-Adressen aus sanktionierten Staaten oder unerklärliche indirekte Transaktionsmuster mit mehreren Zwischenschritten („Hops“).
4. Eine klare Ermittlungsstrategie Werden Red Flags erkannt, braucht es geschulte Mitarbeitende, dokumentierte Prozesse und forensische Tools, um Fondsflüsse nachzuvollziehen. Wie schnell das gehen kann, zeigt der Bybit-Fall: Innerhalb von 18 Minuten nach Bekanntwerden des Hacks hatte Elliptic die relevanten Adressen bereits identifiziert und markiert.
5. Ein umfassendes Risikomanagement-Framework Risikobewertung, korrekt konfigurierte Screening-Systeme, regelmässige Schulungen und klare interne Richtlinien bilden das Fundament. Wie teuer das Fehlen eines solchen Frameworks werden kann, zeigt der Fall ShapeShift: Die Schweizer Börse (mit Sitz in Denver operativ tätig) musste im September 2025 eine Strafzahlung von 750.000 US-Dollar an OFAC leisten, weil sie zwischen 2016 und 2018 rund 12,57 Millionen US-Dollar an Transaktionen mit Nutzern in Kuba, Iran, Sudan und Syrien abgewickelt hatte – ohne jegliches Sanktions-Compliance-Programm.
Warum das Thema auch die Schweiz betrifft
Der ShapeShift-Fall ist ein wichtiges Signal gerade für den Schweizer Markt: ShapeShift AG war in der Schweiz inkorporiert. OFAC macht deutlich, dass Unternehmen unabhängig von ihrer Grösse oder ihrem Sitz für Sanktionsverstösse haftbar gemacht werden können, sobald ein Bezug zu US-Personen oder dem US-Finanzsystem besteht. Für Schweizer Krypto-Unternehmen, die international tätig sind, bedeutet das: Ein reines „Wir sind ja nicht in den USA reguliert“ reicht nicht aus.
Hinzu kommt: OFAC betont ausdrücklich, dass die SDN-Liste (Specially Designated Nationals) nicht abschliessend ist. Adressen, die von sanktionierten Akteuren kontrolliert werden, aber (noch) nicht offiziell gelistet sind, gelten ebenfalls als tabu. Genau hier setzen moderne Blockchain-Analytics-Tools an, die über „Clustering“-Techniken auch nicht gelistete, aber zugehörige Adressen identifizieren können.
Fazit
Sanktions-Compliance im Kryptobereich ist kein statisches Regelwerk mehr, sondern ein sich laufend veränderndes Katz-und-Maus-Spiel zwischen Regulatoren, Ermittlern und Akteuren, die immer raffiniertere Verschleierungstechniken – von Privacy Coins über Cross-Chain-Bridges bis zu eigenen Stablecoin-Ökosystemen wie A7A5 – einsetzen. Wer als Börse, Zahlungsdienstleister oder Finanzinstitut mit Kryptowerten arbeitet, kommt an robusten Wallet- und Transaktions-Screening-Lösungen, klaren internen Prozessen und regelmässigen Schulungen nicht mehr vorbei. Die Fälle Garantex, Bybit, Cryptex und ShapeShift zeigen: Wer zu spät reagiert, riskiert nicht nur Bussgelder, sondern auch den Verlust der Geschäftsgrundlage.
