Die Financial Intelligence Unit (FIU) trägt den gesetzlichen Auftrag, Geldwäsche und Terrorismusfinanzierung zu bekämpfen. Ihren Jahresbericht 2025 prägt ein anderes Thema: Betrug. Im Nachrichtentakt geht eine solche Verschiebung schnell unter; ich halte sie aber für die bislang wichtigste Beobachtung des Jahres. Zumal sie sich bereits ankündigte. Die Financial Action Task Force (FATF) hat sich im Februar auf das Phänomen als künftigen Arbeitsschwerpunkt festgelegt; die britische Präsidentschaft führt es seit Juli an erster Stelle ihrer Agenda, ausdrücklich einschließlich Scam Compounds-bedingter Risiken. Wenn sowohl internationale Standardsetzer als auch unsere nationale Zentralstelle binnen weniger Monate in dieselbe Richtung schwenken, reagieren beide auf identische Entwicklungen.
Der FIU-Bericht enthält außerdem eine zweite Auffälligkeit. Kürzlich habe ich beschrieben, was mir in diesem 49 Seiten starken PDF fehlt: die Zahl der Verdachtsmeldungen mit Kryptobezug. Der Vorjahresbericht führte die Reihe zurück bis 2020, zuletzt lag der Wert bei 8.711. Im aktuellen Jahrgang: Fehlanzeige. Mein Befund gilt unverändert.
Parallel dazu ist etwas passiert: Ebenfalls im Juli hat die FIU ein Anhaltspunktepapier zu alternativen Zahlungsmethoden und neuen Technologien vorgelegt. Über 60 Seiten mit Typologien, Modi Operandi, konkreten Hinweisen für die Praxis. Was aus dem 2025er-Jahresbericht verschwunden ist, hat somit ein eigenes Regelwerk bekommen. Dazu die GwG-Meldeverordnung, in Kraft seit dem 1. März. Sie erzwingt den Kryptobezug künftig auf technischem Weg. Beides zusammengenommen erklärt meines Erachtens das Fehlen aktueller Zahlen: Gemessen wird ab jetzt genauer. Bleibt die Frage, wonach.
Noch ein Maßstab, bevor wir einsteigen. Ein erheblicher Teil dieser Meldungen bezieht sich auf ein Konto, das innerhalb weniger Wochen leergeräumt wurde, Überweisung für Überweisung an eine Plattform, die es nie gab. In der Statistik eine von 374.693 Meldungen des Jahres. Daheim am Küchentisch der Tag, an dem die Altersvorsorge weg war. Diesen Teil habe ich beim Schreiben im Hinterkopf. Nehmen wir ihn mit.
01 | Was der Hash erzwingt
Fangen wir mit dem härteren der beiden Instrumente an: Die GwG-Meldeverordnung macht die Transaction-ID zur Pflichtangabe, sobald ein Sachverhalt Kryptowerte berührt. Bleibt das Feld leer, weist das System die Meldung zurück. Der Kryptobezug wird dadurch maschinell auffindbar, egal unter welchem Meldegrund der Vorgang eingereicht wurde.
Warum das ein Fortschritt ist, zeigt der Blick zurück. Ein Institut meldet einen Anlagebetrug; die Meldung läuft unter genau diesem Grund, wo auch sonst. Der Zahlungsweg spielte für die bisherige Zählung keine Rolle. Er blieb unsichtbar, obwohl er bei Cybertrading Fraud und Pig Butchering der Regelfall ist. Künftig steht er im Datensatz. Wo bisher jemand einschätzen musste, genügt jetzt eine Abfrage.
Dahinter steht eine Entwicklung, die größer ist als jedes Formularfeld. Bei diesen Phänomenen ist die Verschleierung von Anfang an Teil des Tatablaufs: Das Opfer überweist direkt in die Täterstruktur, die erste Einzahlung ist zugleich der erste Waschgang. Betrug und Geldwäsche verschmelzen zu einem einzigen durchlaufenden Vorgang. Getrennte Meldegründe bilden diese Wirklichkeit immer schlechter ab; die Pflichtangabe zieht daraus die Konsequenz.
So weit die Stärke. Aber auch ihre Grenze steht im Verordnungstext: Die Pflichtangabe greift nur, soweit die Information beim meldenden Institut auch tatsächlich vorliegt. Verwahrt ein reguliertes Unternehmen die Schlüssel seiner Kundschaft, ist der Hash dokumentiert und das Feld gefüllt. Überweist jemand dagegen Euro an eine Handelsplattform, verlässt das Geld den Sichtbereich der Bank: keine Transaction-ID im System, also auch nichts fürs Pflichtfeld. Genau dort entsteht der größte Teil des Schadens. Die Überweisung geht raus, die Umwandlung passiert woanders.
02 | Was das Papier beschreibt
Das Anhaltspunktepapier arbeitet anders. Es beschreibt, woran Verpflichtete etwas erkennen sollen; gezählt wird darin nichts, erzwungen ebenso wenig. Der Krypto-Teil behandelt die einschlägigen Verschleierungswege. Mixer, Tumbler und Blender, die Gelder verschiedener Nutzer so lange vermengen, bis die Herkunft im Rauschen verschwindet. Bridges und Chain-Hopping, der schnelle Wechsel zwischen Netzwerken, der jede Spur über mehrere Buchführungen verteilt. Handelsplätze ohne Lizenz und Anbieter in Hochrisikostaaten, bei denen Auskunftsersuchen regelmäßig ins Leere laufen. Glücksspielseiten mit Kryptozahlung. Sogar Automaten, an denen Bargeld binnen Sekunden zu digitalen Werten wird.
Für Meldungen zu diesen Phänomenen bittet die FIU um das Setzen eines bestimmten Indikators in der Verdachtsmeldung: C1011, Auffälligkeiten im Zusammenhang mit Kryptowährungen. Wer ihn setzt, macht den Vorgang für die Auswertung sichtbar.
Bemerkenswert ist die Zurückhaltung, die sich das Dokument selbst auferlegt. Ein einzelner Anhaltspunkt begründet in der Regel keinen Verdacht; bewertet wird der Gesamtvorgang, im Kontext, mit allen Rahmenbedingungen. Am Ende trifft ein Mensch die Einordnung, nicht die Checkliste.
03 | Zwang und Bitte
Hier trennen sich die beiden Instrumente. Dieser Unterschied entscheidet über den Wert aller künftigen Zahlen.
Der Hash ist erzwungen. Das System nimmt die Meldung ohne ihn nicht an; die Angabe kommt zustande, ganz gleich, was die Sachbearbeitung für relevant hält oder übersieht. Technik fragt nicht nach Verständnis.
Der Indikator ist erbeten. Ob er gesetzt wird, hängt daran, ob jemand im Institut den Kryptobezug überhaupt sieht. Und das setzt voraus, dass die Muster aus dem Papier präsent sind. Wem eine Peel Chain nie begegnet ist, der erkennt sie auch im eigenen Monitoring nicht.
Die Erfassung bleibt damit zweigeteilt. Liegt die Transaktion auf einer Blockchain vor und ist sie beim Verpflichteten dokumentiert, greift der Automatismus. Braucht der Kryptobezug erst eine fachliche Bewertung, hilft keine Technik der Welt. Dann entscheidet ein Mensch. Oder eben nicht.
Die eine Lücke schloss der 1. März 2026 per Verordnung. Die andere schließt sich in dem Tempo, in dem Menschen dazulernen.
04 | Die Basis verbreitert sich
Dass die Zeit dafür knapp wird, steht im Jahresbericht selbst. Das Meldeaufkommen digitaler Finanzdienstleister: 2024 noch 34.357 Verdachtsmeldungen, 2025 bereits 108.158. Das entspricht 29% des Gesamtaufkommens, nach 13% im Jahr 2022. Die FIU begründet die Risikoexposition dieses Segments ausdrücklich mit der Ermöglichung kryptowertbezogener Transaktionen für eine junge, technikaffine Kundschaft.
Aber dabei bleibt es nicht. Auch Volksbanken und Sparkassen öffnen den Marktzugang zunehmend über ihre eigenen Apps; nach Verbandsangaben stehen hinter beiden Verbünden zusammen rund 80 Millionen Kundenbeziehungen. Was bislang Neobanken und Handelsplattformen vorbehalten war, erreicht nun auch die Filialkundschaft.
Damit wächst der Kreis der Institute, die kryptowertbezogene Auffälligkeiten erkennen müssen, ohne bislang nennenswert Gelegenheit dazu gehabt zu haben. Die Meldeverordnung liefert ihnen das Datenfeld, das Anhaltspunktepapier die Muster. Das geschulte Auge liefert keins von beiden.
05 | Was daraus folgt
Ziehen wir die Linien zusammen. Die Schwerpunktsetzung aus dem Vorwort hat einen messbaren Kern. Die FATF stuft cybergestützten Betrug in rund 90% der bewerteten Jurisdiktionen als wesentliche Bedrohung ein; die FIU dokumentiert einen Fall, in dem die Erlöse über regulierte Zahlungswege liefen. Die Richtung ist überall dieselbe: Industrialisierung der Tat, Verschmelzung ihrer Zahlungsströme mit der Geldwäsche.
Die deutschen Instrumente antworten mit einer Arbeitsteilung. Das erzwungene Datenfeld verbessert die Auffindbarkeit, das Typologiepapier die Erkennung.
Voll wirken beide erst im Berichtsjahr 2026; ablesen lässt sich der Effekt frühestens im Bericht für 2027. Bis dahin gilt ein einfacher Zusammenhang. Die Technik findet, was jemand einträgt. Und eintragen wird nur, wer versteht, was er sieht. Die 8.711 aus dem Jahr 2024 bleiben damit, wofür ich sie im Juli gehalten habe: eine Untergrenze.
Ein Datenfeld macht Auffälligkeiten auffindbar; erkennen muss sie weiterhin ein Mensch.
Alle Inhalte sind rein privater Natur. Ich schreibe hier als unabhängiger Experte und Publizist (Art. 5 GG). Meine Beiträge sind keine offiziellen Stellungnahmen einer Behörde.
