Sekundärsanktionen sind extraterritoriale Zwangsmaßnahmen, die nicht nur eigene Staatsangehörige oder Unternehmen betreffen, sondern auch Drittstaatsunternehmen sanktionieren, wenn diese mit sanktionierten Personen oder Ländern Geschäfte tätigen. Die EU hat ein eigenes Sekundärsanktionsregime aufgebaut, das parallel zu den bekannteren US-Sekundärsanktionen existiert. Konkret können Finanzinstitute und andere Unternehmen außerhalb der EU auf EU-Sanktionslisten gesetzt werden, wenn sie Umgehungsgeschäfte ermöglichen oder aktiv unterstützen.

Für EU-Unternehmen im Kryptobereich bedeutet dies: Auch wenn die Transaktion über eine Börse in Dubai, Singapur oder einem anderen Drittstaat läuft, haftet das EU-Unternehmen für Verstöße gegen EU-Sanktionsrecht. Die Verordnung (EG) Nr. 833/2014 – erlassen nach Russlands Annexion der Krim und mehrfach erweitert – verbietet die Bereitstellung von Kryptowerten an sanktionierte Personen und Unternehmen. Das 20. EU-Sanktionspaket von 2025 hat Krypto-Dienstleistungen ausdrücklich ins Russland-Sanktionsregime aufgenommen.

Dezentralisierte Krypto-Netzwerke schaffen ein zusätzliches Risiko: Transaktionen laufen über Wallets ohne zentrale Kontrollinstanz, und Endempfänger können ihre Identität verschleiern. Dennoch verlangt die EU von allen Marktteilnehmern, sanktionierte Adressen zu identifizieren und zu blockieren. Das EU-Sanktionsregime erfasst zudem die Umgehung von Restriktionen über Drittstaaten – eine Geschäftsbeziehung mit einer nicht-sanktionierten Drittlands-Plattform schützt nicht vor Haftung, wenn diese Plattform Mittel an sanktionierte Wallets weiterleitet.

Die Konsequenzen bei Verstößen sind erheblich: Geldstrafen bis 1 Million Euro oder 10 Prozent des Jahresumsatzes (je nachdem, was höher ist), strafrechtliche Verfolgung nach nationalem Sanktionsstrafrecht und zivilrechtliche Haftungsansprüche. Zudem kann die zuständige Behörde dem Unternehmen die Betriebserlaubnis in der EU entziehen.

Die Haftung entsteht unabhängig davon, ob das EU-Unternehmen direkt mit sanktionierten Personen Geschäfte macht oder über eine Drittlands-Plattform indirekt beteiligt ist. EU-Sanktionsrecht erfasst auch die Umgehung von Restriktionen – sobald das Unternehmen weiß oder wissen müsste, dass die Drittlands-Plattform sanktionierte Adressen bedient, kann es zur Verantwortung gezogen werden.

Ein praktisches Szenario verdeutlicht das Risiko: Ein EU-Krypto-Investmentfonds überweist Bitcoin an eine dezentralisierte Börse in Dubai, um Liquidität zu erhöhen. Die Börse leitet einen Teil der Mittel an eine Wallet weiter, die auf der EU-Sanktionsliste steht. Auch wenn der Fonds keinen direkten Kontakt zur sanktionierten Wallet hatte, haftet er für die Bereitstellung wirtschaftlicher Ressourcen über den Drittlands-Intermediär. Der EuGH hat in der Rechtssache Bank Melli Iran gegen Telekom Deutschland (C-124/20, Urteil vom 21. Dezember 2021) klargestellt, dass Unternehmen nachweisen müssen, dass die Geschäftsbeendigung nicht wegen Sanktionen erfolgte. Diese Beweislastumkehr gilt auch bei mehrstufigen Krypto-Transaktionsketten.

Mangelnde Due-Diligence-Prozesse auf Seiten der Drittlands-Plattform schützen das EU-Unternehmen nicht. Im Gegenteil: Die Nutzung einer nicht-regulierten oder unzureichend überwachten Plattform wird als Risikoindikator gewertet. Die zuständigen nationalen Behörden – in Deutschland das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) – prüfen, ob das EU-Unternehmen angemessene Kontrollmechanismen implementiert hat. Fehlen diese, drohen hohe Bußgelder und strafrechtliche Konsequenzen nach dem Außenwirtschaftsgesetz (AWG).

Ein weiteres Risiko entsteht durch die EU-Blocking-Verordnung (Verordnung (EG) Nr. 2271/96). Diese verbietet EU-Unternehmen, US-Sekundärsanktionen zu befolgen, wenn diese im Widerspruch zu EU-Recht stehen. Artikel 5 Absatz 1 untersagt die Befolgung bestimmter US-Sanktionsgesetze ohne vorherige Genehmigung der EU-Kommission. Ein EU-Krypto-Unternehmen, das eine Geschäftsbeziehung aus Angst vor US-Sekundärsanktionen beendet, kann gegen die Blocking-Verordnung verstoßen und sowohl in den USA als auch in der EU haftbar werden. Artikel 5 Absatz 2 ermöglicht eine Ausnahme, wenn das Unternehmen nachweist, dass die Einhaltung der US-Sanktionen für seine Interessen oder die der EU unverzichtbar ist – diese Genehmigung muss jedoch vorab bei der Kommission beantragt werden.

Sofortige Selbstanzeige bei der zuständigen Behörde ist der erste Schritt. In Deutschland ist das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) zuständig. Eine freiwillige Offenlegung kann Bußgelder reduzieren und strafrechtliche Konsequenzen abmildern. Die Selbstanzeige muss alle relevanten Fakten enthalten: Welche Transaktion war betroffen? Wer war der Empfänger? Wie konnte der Verstoß passieren? Welche Maßnahmen wurden seitdem ergriffen?

Interne Untersuchung ist der zweite Schritt. Das Unternehmen muss die Ursache des Verstoßes identifizieren – war es ein technisches Versagen des Screening-Systems, ein menschlicher Fehler oder eine bewusste Umgehung? Diese Analyse ist entscheidend, um gegenüber der Behörde glaubhaft zu machen, dass der Verstoß nicht vorsätzlich war und dass wirksame Gegenmaßnahmen ergriffen wurden.

Sofortmaßnahmen zur Risikobegrenzung sind der dritte Schritt. Alle betroffenen Geschäftsbeziehungen müssen sofort eingefroren werden. Wenn Mittel an eine sanktionierte Wallet geflossen sind, muss versucht werden, diese zurückzuholen – bei Krypto-Transaktionen ist das oft unmöglich, aber der Versuch muss dokumentiert werden. Zudem müssen die internen Compliance-Prozesse sofort verschärft werden, um weitere Verstöße zu verhindern.

Rechtliche Vertretung ist der vierte Schritt. Ein auf Sanktionsrecht spezialisierter Anwalt kann in Verhandlungen mit der Behörde Strafmilderung erreichen, indem er auf die Kooperationsbereitschaft des Unternehmens, die sofortigen Korrekturmaßnahmen und die fehlende Vorsätzlichkeit hinweist. In Deutschland können Verstöße nach Paragraf 18 AWG mit Freiheitsstrafe bis zu fünf Jahren geahndet werden – in schweren Fällen bis zu zehn Jahren. Eine frühzeitige und professionelle Verteidigung ist daher unerlässlich.

In Deutschland ist das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) die zentrale Behörde für die Durchsetzung von EU-Sanktionsrecht. Das BAFA prüft Verdachtsfälle, verhängt Bußgelder und leitet bei Bedarf strafrechtliche Ermittlungen ein. Parallel dazu ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) für die Aufsicht über Krypto-Dienstleister zuständig – sie kontrolliert die Einhaltung der MiCA-Vorschriften und der Transfer-of-Funds-Verordnung.

Die nationale Umsetzung von EU-Sanktionsrecht erfolgt in Deutschland über das Außenwirtschaftsgesetz (AWG) und die Außenwirtschaftsverordnung (AWV). Paragraf 18 AWG sieht Freiheitsstrafen bis zu fünf Jahren für Verstöße gegen Sanktionsvorschriften vor – in besonders schweren Fällen bis zu zehn Jahren. Ein besonders schwerer Fall liegt vor, wenn das Unternehmen vorsätzlich handelt, große Mengen an Krypto-Werten transferiert oder wenn die sanktionierten Personen in terroristische Aktivitäten oder schwere Menschenrechtsverletzungen verwickelt sind.

Die EU-Richtlinie 2024/1226 zur Harmonisierung des Sanktionsstrafrechts wurde 2024 verabschiedet und muss bis Ende 2026 in nationales Recht umgesetzt werden. Sie legt Mindeststrafrahmen für Sanktionsverstöße fest und verpflichtet die Mitgliedstaaten, die Haftung von juristischen Personen zu regeln. In Deutschland bedeutet dies, dass Unternehmen für Verstöße ihrer Mitarbeiter haften – selbst wenn die Geschäftsleitung nichts von dem Verstoß wusste, kann das Unternehmen mit Bußgeldern belegt werden, wenn es keine wirksamen Compliance-Strukturen eingerichtet hat.

Die Zusammenarbeit zwischen nationalen Behörden und EU-Institutionen wird durch das European Anti-Money Laundering Authority (AMLA) gestärkt, die ab 2025 ihre Arbeit aufgenommen hat. AMLA koordiniert die Aufsicht über Krypto-Dienstleister in der EU und kann grenzüberschreitende Ermittlungen einleiten. Für EU-Unternehmen bedeutet dies, dass ein Verstoß in einem Mitgliedstaat auch in anderen Mitgliedstaaten Konsequenzen haben kann – etwa wenn die MiCA-Lizenz EU-weit entzogen wird.