Jurisdiktion, Herkunft und das unterschätzte Risiko der Dezentralität

1. Herkunft ist kein Nebenaspekt (leider)

DAOs geben sich gerne als ortslose Entitäten. Kein Sitz, keine Geschäftsführung, kein Land, kein Problem. Nur Code, Governance und eine vage Idee von Kollektivität. Es ist die grosse Illusion des Web3: Dass Struktur obsolet wird, wenn man sie oft genug dezentral nennt.

Doch das Narrativ hält keiner ernsthaften Prüfung stand. Denn jede DAO hat Herkunft, ob sie will oder nicht. Sie hat Entwickler mit Reisepass, Infrastruktur mit IP-Adresse, Geldflüsse mit Jurisdiktion. Der Server steht irgendwo. Die Wallet wird von jemandem kontrolliert. Und das Protokoll, so sehr es sich auch als autonom verkaufen will, agiert in einer Welt, in der Staaten sehr wohl noch Macht haben.

Gerichte interessieren sich nicht für Whitepaper-Poesie. Sie fragen, wer verantwortlich ist. Und sie finden jemanden. Manchmal den Multisig-Signer, manchmal den Hosting-Provider, manchmal den anonymen Gründer, der versehentlich seine GitHub-Mailadresse nicht geobfuscated hat.

Die Realität ist: Herkunft zählt. Wie bei Aktien, wie bei Anleihen, wie bei jeder anderen Form von Kapitalbeteiligung. Wer investiert, bewertet nicht nur das Projekt, sondern auch das Land, das es trägt, oder es scheitert daran, genau das nicht zu tun.

2. Herkunft ist kein Formalismus

Ob ein Protokoll überlebt, hängt nicht allein von Codequalität, Liquidität oder Community ab. Es hängt auch davon ab, wo es sitzt, oder zu sitzen scheint.

Denn: Herkunft ist kein administratives Etikett. Sie legt fest, welches Recht greift, welche Behörden zuständig sind, welche Sanktionen durchsetzbar sind und ob Investoren überhaupt investieren dürfen.

Ein Protokoll, das aus den USA operiert, unterliegt dem Zugriff der SEC, des IRS und des OFAC.
Ein Protokoll, das von russischen oder iranischen Entwicklern gesteuert wird, trägt ein strukturelles Sanktionsrisiko.
Ein Projekt, das auf den Caymans sitzt, mag steuerlich attraktiv sein, wird dafür aber von regulierten Fonds systematisch aussortiert.

Die rechtliche Herkunft bestimmt:

• ob ein Token als Security eingestuft wird
• ob DAO-Mitglieder in persönliche Haftung geraten können
• ob ein Gericht überhaupt zuständig ist, wenn etwas schiefläuft
• ob Infrastrukturpartner (z. B. Cloud, Payment, API) den Dienst einstellen müssen
• ob Banken Ein- und Auszahlungen blockieren

Mit anderen Worten:
Herkunft ist nicht optional. Sie ist Teil des Risikoprofils, auch (oder gerade) wenn man so tut, als wäre sie irrelevant.

3. Das Länderrisiko ist keine neue Idee - man hat es nur vergessen

In der traditionellen Finanzwelt ist Herkunft ein Bewertungsstandard. Im Web3 dagegen: ein blinder Fleck.

Nur im Web3 tut man so, als wäre das egal.
DAOs sind angeblich ortslos. Keine Jurisdiktion, kein Problem.

Aber: Wer den Ort ignoriert, ignoriert Regulierung, Zugriff, Rechtsdurchsetzung, und in vielen Fällen auch institutionelle Investierbarkeit.

Man kann ein DAO-Protokoll nicht ernsthaft bewerten, wenn man nicht weiss:

• Wer die Signer sind
• Wo der Code gepflegt wird
• Wo die Gelder liegen
• Und wem man im Zweifel eine Vorladung oder Anordnung zustellen würde

4. Herkunft wird nicht übersehen - sie wird versteckt

Niemand gründet eine Stiftung auf den Cayman Islands, weil es dort besonders gutes Internet gibt.
Und auch niemand geoblockt US-IPs auf dem Frontend, wenn er keine Angst vor der SEC hat.

DAOs geben sich dezentral, aber sie agieren strategisch.
Sie bauen ihre Strukturen so, dass Herkunft möglichst schwer zuzuordnen ist:

• Der Server sitzt auf Cloudflare, die Domain ist anonym registriert.
• Die Core-Mitglieder posten nur über Pseudonyme, mit VPN, ohne Timezones.
• Der Multisig ist über internationale Zeitzonen verteilt, mit kontrollierter Sichtbarkeit.
• Die Stiftung sitzt auf den BVI, während die Tokenvergabe aus Singapur gemanagt wird.

Und das Frontend hat ein Geoblocking, das sich mit drei Klicks im VPN umgehen lässt.

Das ist kein Zufall. Das ist Risikomanagement, auf die inoffizielle Weise.
Man versucht nicht, regulatorische Klarheit zu schaffen.
Man versucht, regulatorische Zuständigkeit zu vermeiden.

Das ist: Decentralization Theatre.
Technisch plausibel, rechtlich absurd, aber in weiten Teilen des Ökosystems akzeptiert, weil es bequem ist.

Doch genau diese Verschleierung macht Projekte langfristig untragbar:
Für Institutionen. Für Banken. Für Fonds. Für jeden, der sich nicht auf graue Zone und gutes Wetter verlassen will.

5. Wer hinschaut, sieht es - DAO-Herkunft ist rekonstruierbar

Hier ein paar der relevantesten Indikatoren:

Multisig-Geografie:
Zeitzonen der Signaturen. Regelmässigkeiten in den Transaktionszeiten. Wer signiert immer nachts? Wer nie am Wochenende?

Commit History:
GitHub-Zeiten, Handles, Sprache, Kommentarstil. Manche DAOs verwenden interne Slang-Ausdrücke, die kulturelle Hinweise liefern.

Domain & Hosting:
DNS-Einträge, Cloudflare-Zwischenschichten, SSL-Issuer, Kontaktmails, viele Domains verraten mehr, als sie sollten.

Token Distribution Events:
Welche Launchpads? Welche KYC-Provider? Wo war der Zugang explizit beschränkt?

Legal Dust:
Datenschutzerklärungen, Impressum-Schatten, Terms of Service, Fundraising-Dokumente. Oft finden sich US-Klauseln, EU-Ausschlüsse oder lokale Haftungsausschlüsse.

Infra Off-Chain:
Wallets für Bug Bounties, Treasury-Payouts, Layer-1-Gas-Fundings, oft durch zentrale Instanzen, häufig mit Stablecoins aus bekannten KYC-Providern.

6. Herkunft ist ein Risikofaktor

Es gibt keinen legitimen Grund, warum ein seriöses Projekt seine Herkunft komplett verschleiern müsste.
Keine DAO muss eine ladungsfähige Adresse angeben, aber wer systematisch jede Zuordnung verwischt, handelt nicht neutral, sondern strategisch. Und das ist ein Risikosignal.

Denn wenn Herkunft nicht auffindbar ist, dann bedeutet das:

• dass Rechtsdurchsetzung im Ernstfall kaum möglich ist,
• dass Sanktionsrisiken schwerer abschätzbar sind,
• dass es keine Klarheit über die Einhaltung lokaler Finanzgesetze gibt,

und dass Investoren im Zweifel komplett im Nebel stehen.

Das ist nicht neutral, das ist gefährlich.

Herkunft ist daher kein Nebenaspekt, sondern ein klar zu bewertender Compliance- und Reputationsindikator.
Wer transparent ist, senkt das Risiko. Wer sich versteckt, erhöht es. So einfach ist das.

Wir empfehlen, das konsequent im Framework zu verankern:

• Herkunft bekannt: neutral bis positiv
• Herkunft unklar: erhöhtes Risiko
• Herkunft gezielt verschleiert: hoch riskant

Nicht aus Misstrauen, sondern aus methodischem Respekt vor Realität.
Denn Dezentralität entbindet nicht von Verantwortung. Sie verteilt sie nur neu. Und wer die Herkunft aus der Gleichung streicht, verliert die Kontrolle über das, was Recht und Risiko wirklich bedeutet.