OFAC-Compliance für Fintech-Unternehmen: Warum die Durchsetzung nicht länger das Problem anderer ist

Im Dezember 2025, die Office of Foreign Assets Control (OFAC) Die OFAC einigte sich in einem Vollstreckungsverfahren gegen Exodus, einen US-amerikanischen Anbieter von Software-Wallets ohne Verwahrung, auf eine Zahlung von 3.1 Millionen US-Dollar. Dem Unternehmen wurde vorgeworfen, Transaktionen mit Nutzern aus Ländern mit umfassenden Sanktionen abgewickelt zu haben. Die Wallet war keine Bank, und Exodus selbst war kein traditionelles Finanzinstitut. Die OFAC stellte dennoch Verstöße fest. Fintechs, die Zahlungen, digitale Vermögenswerte oder grenzüberschreitende Transfers verarbeiten, können die Einhaltung von Sanktionen nicht länger auf andere abwälzen. Die Vollstreckungsbilanz bis 2025 erschwert diese Position zusätzlich.

Das OFAC ist eine Abteilung des US-Finanzministeriums, die Wirtschafts- und Handelssanktionen gegen ausgewählte ausländische Regierungen, Organisationen und Einzelpersonen verwaltet und durchsetzt. Alle US-Bürger, einschließlich in den USA ansässiger Unternehmen und ihrer ausländischen Niederlassungen, müssen die OFAC-Bestimmungen einhalten. Für die meisten Fintech-Unternehmen bedeutet dies, dass Transaktionen vor der Verarbeitung anhand der OFAC-Sanktionslisten geprüft und Transaktionen mit gelisteten Parteien blockiert oder abgelehnt werden.

Was ist OFAC und für wen gilt es?

Das OFAC leitet seine Befugnisse aus präsidialen Notstandsgesetzen und Verordnungen ab, darunter der International Emergency Economic Powers Act (IEEPA) und der Trading With the Enemy Act (TWEA). Sein wichtigstes Instrument zur Durchsetzung der Sanktionen ist die Liste der speziell benannten Staatsangehörigen und gesperrten Personen (SDN-Liste), eine Datenbank mit Personen, Organisationen und Kryptowährungs-Wallet-Adressen, mit denen US-Bürger keine Transaktionen tätigen dürfen. Das OFAC verwaltet außerdem länderspezifische Sanktionsprogramme für Kuba, Iran, Nordkorea, Russland und andere Länder, in denen ganze Transaktionskategorien verboten sind oder Sanktionen erfordern. OFAC-LizenzZu verstehen, wen die Regeln erreichen und durch welche Strukturen, ist die erste Compliance-Frage, die jedes Fintech-Unternehmen beantworten muss.

Wer gilt gemäß den OFAC-Regeln als „US-Person“?

Nach den Richtlinien des OFAC umfasst der Begriff „US-Person“ US-Bürger und Personen mit ständigem Wohnsitz in den USA, unabhängig von ihrem Aufenthaltsort, nach US-Recht gegründete Unternehmen sowie alle Personen, die sich physisch in den Vereinigten Staaten aufhalten. Ausländische Niederlassungen US-amerikanischer Unternehmen fallen unter die meisten Sanktionsprogramme. Ausländische Tochtergesellschaften unterliegen den länderspezifischen Regelungen, wie beispielsweise für Kuba und Nordkorea. Für Fintechs mit globaler Nutzerbasis bedeutet dies, dass die OFAC-Prüfung für jede Transaktion gilt, die über ein in den USA gegründetes Unternehmen oder eine Korrespondenzbankbeziehung mit den USA abgewickelt wird, selbst wenn der Hauptsitz des Fintechs außerhalb der Vereinigten Staaten liegt.

Was genau verlangt das OFAC von Fintechs?

Fintechs müssen Kunden, Geschäftspartner und Transaktionen mindestens anhand der SDN-Liste und anderer vom OFAC verwalteter Sanktionslisten überprüfen, bevor diese Transaktionen verarbeitet werden. Jegliches Vermögen einer gelisteten Person, das in den Besitz des Fintechs gelangt, muss gesperrt und innerhalb von 10 Werktagen dem OFAC gemeldet werden. Verbotene Transaktionen, die kein sperrbares Vermögen betreffen, müssen abgelehnt und ebenfalls innerhalb von 10 Werktagen gemeldet werden. Aufzeichnungen über gesperrte und abgelehnte Transaktionen müssen mindestens fünf Jahre lang aufbewahrt werden. Das FFIEC BSA/AML-Handbuch weist darauf hin, dass die Einhaltung der OFAC-Vorschriften eine separate und zusätzliche Verpflichtung darstellt. Bank Secrecy Act (BSA) und AML-AnforderungenEin funktionierendes Compliance-Programm für Fintech-Unternehmen muss jedoch alle drei Aspekte integriert berücksichtigen. Für einen genaueren Blick darauf, was das in der Praxis bedeutet, … Überprüfung der SanktionslisteDie beteiligten globalen Regime gehen über die SDN-Liste hinaus.

Warum sind Fintechs einem erhöhten OFAC-Durchsetzungsrisiko ausgesetzt?

Der OFAC-Vollzugskalender für 2025 bestätigte eine Verlagerung der Zielsetzungen der Behörde. Es wurden Maßnahmen gegen eine Handelsplattform für digitale Vermögenswerte, ein Finanztechnologieunternehmen und einen globalen elektronischen Broker-Dealer eingeleitet, was zeigt, dass Einhaltung der OFAC-Sanktionen Die Erwartungen gelten für den gesamten Finanzsektor. Dies ist relevant für jedes Fintech-Unternehmen, das bisher davon ausging, dass sein regulatorisches Risiko primär bei seinen Bankpartnern und nicht bei seinem eigenen Compliance-Programm liegt.

Inwiefern spiegeln die Durchsetzungsdaten von 2025 die Prioritäten des OFAC wider?

Laut einer Analyse von Sidley Austin zur Durchsetzung der US-Sanktionen im Jahr 2025 beliefen sich die gesamten OFAC-Strafen und -Vergleichszahlungen im Jahr 2025 auf über 265 Millionen US-Dollar, verglichen mit rund 49 Millionen US-Dollar im Jahr 2024. Das OFAC leitete 14 Durchsetzungsmaßnahmen ein, gegenüber 12 im Jahr 2024, und erließ drei Strafbescheide anstelle von jeweils einem in den beiden Vorjahren. Die Analyse für 2026 identifizierte vier wiederkehrende Schwerpunkte bei den Durchsetzungsmaßnahmen: Verstöße gegen die Russland-bezogenen Sanktionen, Haftung von Beratern und Vermittlern als Gatekeeper, Ablehnung übermäßig formalistischer Eigentumsanalysen und verstärkte Überprüfung von Nichtbanken-Finanzinstituten, einschließlich Unternehmen im Bereich digitaler Vermögenswerte. Der vierte Schwerpunkt ist für Compliance-Teams im Fintech-Sektor besonders relevant.

Warum bergen grenzüberschreitende Zahlungen und Kryptowährungen ein spezifisches OFAC-Risiko?

Ein Fintech-Unternehmen, das hohe Transaktionsvolumina mithilfe eines regelbasierten Screening-Filters verarbeitet, der auf einer wöchentlich aktualisierten Liste läuft, birgt drei Risiken gleichzeitig. Falsch-negative Ergebnisse können durch unvollständige Datenabdeckung entstehen. Fehlalarm Unpräzise Namensabgleichslogik führt zu Bearbeitungsrückständen. Zudem besteht eine Verzögerung zwischen der Sanktionsfestsetzung durch das OFAC und der Aktualisierung des Prüfsystems. Die OFAC-Richtlinien zur Einhaltung von Sanktionen in der Kryptowährungsbranche nennen die geografische IP-Sperrung und die Überprüfung von Blockchain-Adressen als grundlegende Kontrollmaßnahmen für Unternehmen im Kryptobereich – nicht als optionale Ergänzungen. Fehlt eine dieser Kontrollen, steigt die Wahrscheinlichkeit eines Verstoßes, und eine freiwillige Selbstanzeige hat für das OFAC bei der Festlegung der Sanktionsmaßnahmen weniger Gewicht.

Aufbau eines OFAC-Compliance-Programms, das standhält

Das OFAC schreibt keine spezifische Programmstruktur vor, doch sein Rahmenwerk für OFAC-Compliance-Verpflichtungen und die Prüfungsrichtlinien der FFIEC nennen dieselben fünf Komponenten als Kennzeichen eines soliden Programms. Die Berücksichtigung dieser Komponenten ist sowohl aus praktischer als auch aus regulatorischer Sicht wichtig: Das OFAC bewertet die Angemessenheit des Programms bei der Festlegung von Sanktionsmaßnahmen. Das bedeutet, dass ein dokumentiertes, funktionierendes Programm die Strafhöhe selbst bei einem Verstoß reduzieren kann.

Die fünf Kernkomponenten

Die OFAC-Prüfungsrichtlinien der FFIEC nennen fünf Elemente, die ein glaubwürdiges Programm auszeichnen. Das Engagement des Managements bedeutet dokumentierte Verantwortung der Führungsebene, wobei Umfang und Ressourcen des Programms auf höchster Ebene genehmigt sein müssen. Risikobewertung Dies bedeutet, dass erfasst wird, welche Produkte, Kundentypen und Regionen das höchste OFAC-Risiko bergen, sodass das Screening-Programm das tatsächliche Risiko und nicht nur allgemeine Kategorien widerspiegelt. Interne Kontrollen umfassen die Richtlinien, Verfahren und Technologien für das Screening von Kunden und Transaktionen, die Identifizierung von Treffern, die Klärung von Übereinstimmungen, die gegebenenfalls erforderliche Sperrung von Vermögenswerten und die Berichterstattung innerhalb von zehn Werktagen.

Unabhängige Prüfung bedeutet eine objektive Überprüfung des Programms, die dem Risikoprofil des Fintech-Unternehmens angemessen ist und von der internen Revision oder einem externen Dienstleister durchgeführt wird. Schulung bedeutet rollenspezifische Unterweisung für alle Mitarbeiter, die mit Onboarding, Zahlungen oder Kundendaten zu tun haben. Compliance-Beauftragte, die diese Programme entwickeln oder prüfen, können zudem operative Expertise in den folgenden Bereichen gewinnen: Leitfaden zur Sanktionsprüfung für Compliance-Experten, mit einer Beschreibung, wie die einzelnen Kontrollmaßnahmen typischerweise in der Produktion funktionieren.

Wo weisen die OFAC-Programme für Fintech-Unternehmen typischerweise Schwächen auf?

Vier Lücken treten in Fintech-Programmen immer wieder auf. Die häufigste ist die fehlende Aktualität der Listen: Viele Fintechs gleichen ihre Prüfungen mit einer Kopie der SDN-Liste ab, die wöchentlich oder monatlich aktualisiert wird, während das OFAC die Liste nach jeder Einstufung, oft nahezu in Echtzeit, aktualisiert. Eine Verzögerung von 24 Stunden auf einer Plattform mit hohem Transaktionsvolumen stellt ein reales, nicht nur theoretisches Risiko dar. Die zweite Lücke ist die unzureichende Datenabdeckung: Die Überprüfung von Kundennamen ohne Berücksichtigung von Gegenparteien, Begünstigten und, bei Kryptoprodukten, Blockchain-Wallet-Adressen führt zu einem unvollständigen Programm. Die dritte Lücke ist die unzureichende Trefferauflösung: Wenn die Prüflogik vorhanden ist, aber kein dokumentierter Prozess zur Untersuchung, Eskalation und zum Abschluss eines markierten Treffers existiert, kann das System nicht nachweisen, dass die Treffer ordnungsgemäß bewertet wurden. Die vierte Lücke ist der unzureichende Meldeprozess: Die 10-tägige Frist für die Einreichung von Berichten über blockierte und abgelehnte Transaktionen beim OFAC erfordert einen etablierten operativen Prozess, nicht nur eine festgelegte Richtlinie.

Wie hilft Shufti Fintechs dabei, die Anforderungen der Sanktionsprüfung zu erfüllen?

Die operative Herausforderung für die Compliance-Teams von Fintech-Unternehmen besteht darin, OFAC-Screenings parallel zu umfassenderen Sanktions- und AML-Verpflichtungen in Echtzeit und bei hohem Transaktionsvolumen durchzuführen, ohne die Analysten mit ungelösten Warnmeldungen zu überfordern. Shuftis AML screening Die Liste umfasst über 215 Sanktionsregime, darunter die Sanktionslisten von OFAC, UN, EU und Großbritannien, wobei die Listendaten alle 15 Minuten aktualisiert werden. Diese Aktualisierungsfrequenz schließt die Lücke zwischen Listen und Währung, die vielen Verstößen im Fintech-Bereich zugrunde liegt: Die Überprüfung spiegelt den aktuellen Stand der SDN-Liste wider und nicht nur eine wöchentliche Momentaufnahme.

Das AML screening Es nutzt dieselbe API wie die Identitätsprüfung, sodass ein Fintech-Unternehmen Dokumentenprüfung, biometrischen Abgleich und Sanktionsprüfung in einem einzigen Onboarding-Workflow durchführen kann, anstatt separate Prozesse zu kombinieren. Für die Abdeckung von Zahlungen und Transaktionen gilt Folgendes: Shuftis Transaktionsprüfung Die Plattform führt Gegenpartei- und Wallet-Adressprüfungen durch. Wird eine Übereinstimmung markiert, zeigt die Plattform den entsprechenden Listeneintrag und den Grund für die Markierung an. So erhalten Analysten den nötigen Kontext, um das Problem zu lösen, anstatt jeden Treffer manuell überprüfen zu müssen.