Kryptokriminalität 2026: Was Unternehmen wissen müssen

Autor: Rechtsanwalt Dr. Marc Maisch / Headerbild: KI-generiert

Über 450 Fachleute aus fast 90 Ländern haben auf der 10. Globalen Konferenz zu Kriminalfinanzen und Kryptowerten in Luxemburg besprochen, wie Behörden und Unternehmen Kryptokriminalität schneller aufdecken, Vermögen einfrieren und Täter gemeinsam verfolgen.

Die Botschaft richtet sich nicht nur an Ermittler. Kriminelle nutzen Kryptowerte immer häufiger. Sie treffen damit auch Unternehmen: als Opfer von Betrug und Erpressung, als Empfänger von Zahlungen und als Kunden von Kryptodienstleistern. Rechtsanwalt Dr. Marc Maisch von Maisch.law Rechtsanwälte ist auf IT Recht, KI, Datenschutz und Cybercrime spezialisiert und arbeitet als Datenschutzbeauftragter. In diesem Beitrag ordnet er die Ergebnisse der Konferenz ein und zeigt, was Unternehmen in Deutschland daraus ableiten sollten.

Was ist die Global Conference on Criminal Finances and Cryptoassets?

Die Global Conference on Criminal Finances and Cryptoassets ist eine internationale Fachkonferenz zur kriminellen Nutzung von Kryptowerten. Sie hat 2026 ihre zehnte Ausgabe erreicht. Die Konferenz fand am 15. und 16. September 2026 in Luxemburg statt. Zusätzlich war eine Teilnahme online möglich.

Drei Organisationen richten die Konferenz gemeinsam aus: die europäische Polizeibehörde Europol, das Büro der Vereinten Nationen für Drogen und Verbrechensbekämpfung (UNODC) und das Basel Institute on Governance. Gastgeber in Luxemburg war das Bureau de gestion des avoirs, die luxemburgische Stelle für die Verwaltung von Vermögenswerten aus Straftaten. Das Programm richtete sich an Praktiker aus verschiedenen Branchen und Regionen. Der erste Tag war offen. Der zweite Tag stand nur öffentlichen Behörden offen.

Nach Angaben von Europol haben mehr als 450 Fachleute aus fast 90 Ländern Werkzeuge, Partnerschaften und Strategien ausgetauscht, um illegale Nutzung von Kryptowerten zu stören.

Die vier Kernthemen der Konferenz

Welche neue Methoden gibt es, um Kryptonetzwerke aufzuspüren und zu zerschlagen?

Europol nennt neue Techniken, mit denen Ermittler kriminelle Netzwerke auf Kryptobasis nachverfolgen, Vermögen beschlagnahmen und Strukturen zerschlagen. Wie das aussieht, zeigt der Fall Cryptomixer. Der Dienst verschleierte Zahlungsströme von Kryptowerten und war nach Angaben des BKA seit 2016 aktiv. Er schloss Maßnahmen zur Kundenidentifizierung gezielt aus. Am 26. November 2025 schalteten die Generalstaatsanwaltschaft Frankfurt am Main, das BKA, Schweizer Behörden, Europol und Eurojust den Dienst ab. Sie sicherten Kryptowerte im Wert von rund 25 Millionen Euro.

Im Juni 2026 folgte ein weiterer Schlag. Ermittler aus elf Ländern, darunter Deutschland, gingen mit Europol und Eurojust gegen den Dienst AudiA6 vor. Er soll zwischen 2022 und 2025 mehr als 336 Millionen Euro in Kryptowerten gewaschen haben. Die Betreiber verlangten Gebühren von 3 bis 10 Prozent. Zwei mutmaßliche Administratoren wurden in Georgien festgenommen. Die Ermittler beschlagnahmten 25 Domains und mehr als 30 Server.

Grenzüberschreitendes Einfrieren von Vermögen

Europol nennt die Zusammenarbeit über Landesgrenzen hinweg, damit Behörden Vermögen einfrieren, bevor es verschwindet. Das ist der wichtigste praktische Punkt. Kryptowerte lassen sich in Minuten über mehrere Wallets und mehrere Länder verschieben. AudiA6 warb laut Berichten damit, gewaschene Gelder innerhalb von rund einer Stunde zurückzugeben. Wer Opfer wird, hat deshalb oft nur wenige Stunden, um Spuren zu sichern und Anzeige zu erstatten.

Informationsaustausch zwischen Behörden und Unternehmen

Europol nennt einen Austausch von Erkenntnissen zwischen öffentlichen und privaten Stellen. Gemeint sind Börsen, Banken, Zahlungsdienstleister und Analysefirmen, die Auffälligkeiten mit Ermittlern teilen. Auf dem offenen Konferenztag stand deshalb die Frage im Programm, wie Verdachtsmeldungen bei Kryptowerten besser werden. Ein Beispiel: Ein Kryptodienstleister erkennt, dass ein Neukunde innerhalb von Minuten viele kleine Beträge an frisch angelegte Adressen weiterleitet. Eine präzise Meldung mit Transaktionsnummern, Adressen und Zeitpunkten hilft den Ermittlern mehr als ein allgemeiner Hinweis.

Gemeinsame Standards für die Blockchainanalyse

Europol nennt gemeinsame Standards für Blockchainanalyse, damit Ermittlungen weltweit besser werden. Blockchainanalyse bedeutet, dass Fachleute mit Software Zahlungswege von Kryptowerten verfolgen und Adressen bestimmten Diensten zuordnen. Auf dem Programm stand die Entwicklung offener Standards für Blockchain Intelligence. Aus juristischer Sicht ist das wichtig. Wenn Analysewerkzeuge unterschiedlich arbeiten, gehen die Ergebnisse auseinander. Gemeinsame Standards machen Ergebnisse vergleichbar und erleichtern ihre Verwertung in Strafverfahren.

Warum betrifft das Thema Unternehmen in Deutschland?

Das Bundeslagebild Cybercrime 2025 zählt in Deutschland rund 334.000 Fälle. Dazu kommt ein erhebliches Dunkelfeld. Die Polizei registrierte 1.041 angezeigte Ransomware Angriffe, ein Plus von zehn Prozent gegenüber 2024. Die Zahl der DDoS Angriffe stieg um 25 Prozent auf 36.706. Laut Bundesregierung zahlen immer weniger Betroffene Lösegeld. Erpresser fordern das Lösegeld häufig in Kryptowerten.

Praxisbeispiel: Ein Maschinenbauer mit 200 Beschäftigten erlebt einen Ransomware Angriff. Die Erpresser fordern Bitcoin auf eine bestimmte Wallet Adresse. Die Geschäftsführung fragt zuerst nach der Zahlung. Aus rechtlicher Sicht lautet die erste Frage anders: Wer ist der Empfänger, und verstößt eine Zahlung gegen Sanktionsrecht? Dazu kommen die Meldung an die Polizei, die Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden nach Art. 33 DSGVO und die Sicherung der Beweise.

Wie ist der rechtliche Rahmen in Deutschland und der EU?

Beschlagnahme und Einziehung von Kryptowerten

Die Staatsanwaltschaft sichert Kryptowerte nach § 111b StPO durch Beschlagnahme. Der Staat verwahrt sie danach nach den §§ 111c und 111d StPO. Droht ein erheblicher Wertverlust, darf die Staatsanwaltschaft sie nach § 111p StPO notveräußern. Die Einziehung selbst richtet sich nach den §§ 73 ff. StGB.

Ein bekanntes Beispiel liefert Sachsen. Die Behörden veräußerten im Sommer 2024 aus dem Verfahren zu movie2k rund 49.858 Bitcoin und erlösten etwa 2,64 Milliarden Euro. Sie verkauften in kleinen Tranchen, um den Markt nicht zu stören. Die Grenze bilden selbst verwaltete Wallets. Ohne den privaten Schlüssel kommen Ermittler nicht an die Werte. Nach Darstellung der Kanzlei CMS konnte die Staatsanwaltschaft Koblenz in einem Verfahren 753 von 757 beschlagnahmten Bitcoin nicht sichern, weil der Schlüssel unbekannt war.

Geldwäsche und Transparenzpflichten

Wer Vermögen aus Straftaten annimmt oder verschleiert, macht sich nach § 261 StGB strafbar. Das gilt auch bei leichtfertigem Handeln. Kryptodienstleister unterliegen strengen Pflichten. Die Travel Rule verpflichtet sie, bei Transfers Angaben zu Sender und Empfänger zu erheben und zu übermitteln. In Deutschland gilt sie für Kryptowerte seit dem 1. Oktober 2021. In der gesamten EU gilt sie seit dem 30. Dezember 2024 durch die Geldtransferverordnung (EU) 2023/1113.

Ab dem 10. Juli 2027 gilt die neue EU Geldwäscheverordnung. Nach Darstellung von Fachquellen dürfen dann regulierte Anbieter keine anonymen Konten mehr führen, und sie müssen Kryptowerte mit besonderen Anonymitätsfunktionen wie Monero oder Zcash aus dem Angebot nehmen. Zusätzlich gilt für gewerbliche Barzahlungen eine Obergrenze von 10.000 Euro. Die neue EU Geldwäschebehörde AMLA sitzt in Frankfurt am Main.

Datenschutz bei Blockchain und Ermittlungen

Wallet Adressen wirken anonym, sind aber pseudonym. Sie können personenbezogene Daten sein, wenn sich ihr Inhaber mit zusätzlichem Wissen identifizieren lässt. Das ergibt sich aus Art. 4 Nr. 1 DSGVO. Der Europäische Datenschutzausschuss hat in seinen Leitlinien 02/2025 klargestellt, dass Unternehmen personenbezogene Daten nicht direkt in einer Blockchain speichern sollen, wenn das den Datenschutzgrundsätzen widerspricht. Für den Austausch mit Behörden und Analysefirmen braucht ein Unternehmen zusätzlich eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO.

Was können Unternehmen jetzt konkret unternehmen?

Einen Notfallplan für Kryptoerpressung und Kryptobetrug erstellen

Ein Notfallplan legt fest, wer im Ernstfall entscheidet, wen er informiert und welche Daten er sichert. Dazu gehören Wallet Adressen, Transaktionsnummern, Zeitpunkte, Screenshots und Chatverläufe der Täter. Praxisbeispiel: Die Buchhaltung überweist Geld an eine Kryptobörse, weil eine gefälschte Mail der Geschäftsführung dazu auffordert. Wer dann innerhalb von Stunden Anzeige erstattet und die Börse benennt, verbessert die Chance, dass Ermittler das Guthaben einfrieren.

Zahlungen in Kryptowerten prüfen

Wer Kryptowerte als Zahlung annimmt, sollte die Herkunft der Mittel dokumentieren. Praxisbeispiel: Ein Autohändler bekommt das Angebot, einen Gebrauchtwagen in Bitcoin von einer unbekannten Wallet zu bezahlen. Als Güterhändler kann er unter das Geldwäschegesetz fallen. Er sollte Kunden identifizieren, die Herkunft der Mittel klären und bei Verdacht die Meldung an die Zentralstelle für Finanztransaktionsuntersuchungen prüfen.

Beschäftigte und Auszubildende schulen

Kriminelle werben Menschen als Finanzagenten an. Praxisbeispiel: Eine Auszubildende erhält im Chat das Angebot, gegen Provision Kryptowerte auf ihrem Konto zu kaufen und weiterzuleiten. Sie hält das für einen Nebenverdienst. Tatsächlich fließt Geld aus Betrugstaten durch ihr Konto, und sie riskiert ein Verfahren wegen Geldwäsche. Schulungen sollten diese Masche benennen.

Datenweitergabe an Behörden rechtlich absichern

Auskunftsersuchen von Behörden müssen Unternehmen einzeln prüfen. Praxisbeispiel: Ein Zahlungsdienstleister erhält eine Anfrage einer Polizeibehörde zu einer Wallet Adresse eines Kunden. Er prüft, wer anfragt, auf welche Rechtsgrundlage sich die Anfrage stützt und welche Daten er herausgeben muss. Er dokumentiert die Entscheidung. Bei einer eigenen Strafanzeige gegen Betrüger kann Art. 6 Abs. 1 Buchstabe f DSGVO die Weitergabe tragen, wenn die Interessenabwägung stimmt.

Was die lässt die Konferenz noch offen?

Der Beitrag von Europol nennt nur Schlagworte und keine konkreten Zahlen zu Erfolgen. Der zweite Konferenztag mit Fallstudien war nur für Behörden zugänglich. Wer Details braucht, findet Zusammenfassungen und Aufzeichnungen der öffentlichen Sitzungen beim Basel Institute on Governance. Für Unternehmen gilt: Aus der Konferenz folgen keine neuen Pflichten. Sie zeigt aber, in welche Richtung sich Ermittlungen und Aufsicht entwickeln.

Fazit

Kryptokriminalität wird international bekämpft, und Unternehmen sind Teil dieser Kette. Behörden wollen schneller einfrieren, Daten besser austauschen und Analysen vereinheitlichen. Unternehmen sollten deshalb Notfallpläne, Zahlungsprozesse, Schulungen und Datenschutz prüfen, bevor ein Vorfall eintritt.

FAQ

Was ist die Global Conference on Criminal Finances and Cryptoassets?

Die Global Conference on Criminal Finances and Cryptoassets ist eine internationale Fachkonferenz zur kriminellen Nutzung von Kryptowerten. Europol, das Büro der Vereinten Nationen für Drogen und Verbrechensbekämpfung (UNODC) und das Basel Institute on Governance richten sie aus. Praktiker aus Behörden und Wirtschaft tauschen dort Fälle, Ermittlungswerkzeuge und Regulierungsfragen aus. 2026 fand die zehnte Konferenz statt.

Wann und wo fand die Konferenz statt?

Die 10. Konferenz fand am 15. und 16. September 2026 in Luxemburg statt. Die Teilnahme war auch online möglich. Gastgeber war das luxemburgische Bureau de gestion des avoirs, das Vermögenswerte aus Straftaten verwaltet. Nach Angaben von Europol nahmen mehr als 450 Fachleute aus fast 90 Ländern teil.

Was bedeutet Blockchainanalyse?

Blockchainanalyse bedeutet, dass Ermittler mit spezieller Software Zahlungswege von Kryptowerten nachverfolgen. Sie ordnen Wallet Adressen Diensten oder Personen zu und erkennen Muster, etwa die Verteilung von Geld auf viele Adressen. Die Konferenz besprach gemeinsame Standards, damit Ergebnisse weltweit vergleichbar und in Strafverfahren besser verwertbar werden.

Wie frieren Behörden Kryptowerte in Deutschland ein?

Die Staatsanwaltschaft beschlagnahmt Kryptowerte nach § 111b StPO. Bei Guthaben auf einer Kryptobörse kann sie den Anbieter zur Sperrung verpflichten. Bei selbst verwalteten Wallets brauchen Ermittler den privaten Schlüssel, sonst scheitert der Zugriff. Droht ein erheblicher Wertverlust, erlaubt § 111p StPO die Notveräußerung. Die endgültige Einziehung richtet sich nach den §§ 73 ff. StGB.

Was sollten Opfer eines Kryptobetrugs sofort tun?

Opfer sollten unverzüglich Anzeige erstatten und alle Spuren sichern. Dazu gehören Wallet Adressen, Transaktionsnummern, Zeitpunkte, Screenshots und der Name der Kryptobörse. Zusätzlich sollten sie die Börse und die Hausbank informieren. Je schneller Ermittler handeln, desto größer ist die Chance, Vermögen einzufrieren, bevor die Täter es weiterleiten. Ein Anwalt kann die Schritte koordinieren.

Müssen Unternehmen Zahlungen in Kryptowerten auf Geldwäsche prüfen?

Ob ein Unternehmen prüfen muss, hängt davon ab, ob es nach dem Geldwäschegesetz verpflichtet ist. Kryptodienstleister, Banken und viele Güterhändler gehören dazu. Sie identifizieren Kunden, klären die Herkunft der Mittel und melden Verdachtsfälle. Unabhängig davon macht sich strafbar, wer Vermögen aus Straftaten annimmt, auch bei leichtfertigem Handeln nach § 261 StGB.

Was ändert sich 2027 bei Kryptowerten?

Ab dem 10. Juli 2027 gilt die neue EU Geldwäscheverordnung. Regulierte Anbieter dürfen dann keine anonymen Konten mehr führen und müssen Kryptowerte mit besonderen Anonymitätsfunktionen aus dem Angebot nehmen. Für gewerbliche Barzahlungen gilt zusätzlich eine Obergrenze von 10.000 Euro. Die EU Geldwäschebehörde AMLA hat ihren Sitz in Frankfurt am Main.

Sind Wallet Adressen personenbezogene Daten?

Wallet Adressen können personenbezogene Daten sein. Sie sind pseudonym, nicht anonym. Lässt sich ihr Inhaber mit zusätzlichem Wissen identifizieren, gilt die DSGVO nach Art. 4 Nr. 1. Das ist etwa der Fall, wenn ein Unternehmen die Adresse einem Kundenkonto zuordnen kann. Der Europäische Datenschutzausschuss rät in seinen Leitlinien 02/2025, personenbezogene Daten nicht direkt in einer Blockchain zu speichern, wenn das den Datenschutzgrundsätzen widerspricht.

Darf ein Unternehmen Kundendaten an Ermittlungsbehörden weitergeben?

Ein Unternehmen darf Kundendaten nur weitergeben, wenn dafür eine Rechtsgrundlage besteht. Bei einem verbindlichen Auskunftsersuchen kann eine rechtliche Verpflichtung nach Art. 6 Abs. 1 Buchstabe c DSGVO vorliegen. Bei einer eigenen Strafanzeige kommt ein berechtigtes Interesse nach Buchstabe f in Betracht. Das Unternehmen prüft jeden Fall einzeln und dokumentiert seine Entscheidung.

Rechtliche Beratung zu Kryptokriminalität, Datenschutz und Cybercrime

Dr. Marc Maisch ist Rechtsanwalt bei Maisch.law Rechtsanwälte und auf IT Recht, KI, Datenschutz und Cybercrime spezialisiert. Er arbeitet außerdem als Datenschutzbeauftragter. Haben Sie Fragen zu Kryptoerpressung, Betrug mit Kryptowerten, Geldwäscherisiken oder zum Datenschutz bei der Zusammenarbeit mit Behörden? Melden Sie sich gerne über die Website von Maisch.law bei Dr. Maisch und seinem Team. Wir freuen uns auf Ihre Nachricht.