MiCA kommt nicht erst. MiCA ist da. Und die Zeit läuft ab.

Was viele Unternehmen noch immer missverstehen und warum sie dafür bezahlen werden

Die Markets in Crypto-Assets Regulation (MiCA) hat nicht einfach neue Anforderungen auf bestehende Regelwerke aufgesetzt. Sie hat den bisherigen Flickenteppich nationaler Registrierungen von Virtual Asset Service Providern (VASP) vollständig ersetzt und ein einheitliches Zulassungsregime für alle 27 EU-Mitgliedstaaten geschaffen.

Die Unternehmen, die MiCA lediglich als weiteres regulatorisches Update verstanden haben, geraten jetzt unter Druck. Das gefährlichste Missverständnis, dem wir aktuell begegnen: die Annahme, dass bestehende VASP-Registrierungen „überführt“ werden können. Genau das ist nicht der Fall. MiCA ist keine formale Verlängerung bestehender Registrierungen. Unternehmen müssen ein vollständiges Zulassungsverfahren durchlaufen.

Die Anforderungen gehen dabei weit über die AML-fokussierten Vorgaben der bisherigen nationalen VASP-Regime hinaus. Unternehmen, die dies zu spät erkannt haben, reichen ihre Anträge nun unter erheblichem Zeitdruck ein, genau unter den Bedingungen, unter denen Aufsichtsbehörden ihre Prüfung typischerweise verschärfen.

Ein weiteres Missverständnis betrifft die deutsche Übergangsregelung. Viele Marktteilnehmer gingen davon aus, dass diese zusätzlichen Handlungsspielraum schafft. Das Gegenteil ist der Fall. Deutschland hat sich für eine zwölfmonatige Übergangsfrist entschieden, die bereits Ende 2025 ausgelaufen ist.

Wer heute in Deutschland Krypto-Asset-Dienstleistungen ohne MiCA-Lizenz anbietet, befindet sich nicht mehr innerhalb eines geschützten Übergangsregimes. Die EU-weite Frist zum 1. Juli 2026 stellt für deutsche Anbieter keinen neuen Startpunkt dar. Für sie existierte dieser zeitliche Spielraum faktisch nie.

MiCA beginnt, institutionell aufgestellte Unternehmen von Firmen zu trennen, die noch wie Start-ups operieren

Deutschland führt die EU aktuell mit 18 erteilten CASP-Lizenzen an, gefolgt von den Niederlanden mit 14. Die erste Genehmigungswelle erfolgte bereits am 30. Dezember 2024. Die höchste Anzahl neuer Zulassungen wurde zwischen Mai und Juli 2025 erteilt.

Diese Entwicklung ist kein Zufall. Die heute lizenzierten Unternehmen haben ihre Anträge vor 12 bis 18 Monaten gestartet. Sie haben früh verstanden, was viele Nachzügler noch immer unterschätzen: Eine MiCA-Lizenz ist kein Dokument, das man einreicht. Sie ist eine operative und regulatorische Struktur, die aufgebaut und anschließend gegenüber einer Aufsichtsbehörde belastbar nachgewiesen werden muss.

Und Regulatoren haben keinerlei Interesse daran, Konstrukte zu genehmigen, die erkennbar unter Zeitdruck zusammengestellt wurden. Die früh lizenzierten Unternehmen nutzen bereits heute das EU-Passporting. Sie führen Gespräche mit institutionellen Partnern und Corporate-Treasury-Einheiten, die mit nicht-lizenzierten Gegenparteien gar nicht mehr arbeiten.

Sie erschließen bereits jetzt das Stablecoin-Treasury-Potenzial, das MiCA geschaffen hat. Jeder weitere Monat ohne Lizenz vergrößert diesen Vorsprung.

Worauf Regulatoren tatsächlich achten und woran Unternehmen scheitern

Der Großteil der MiCA-Kommentierung konzentriert sich auf Checklisten. Genau das ist der falsche Blickwinkel. Wenn die BaFin einen Antrag prüft, steht hinter nahezu jeder Frage dieselbe Kernfrage: Handelt es sich hier um ein echtes Institut, oder um ein Produkt, dem kurzfristig eine Governance-Struktur übergestülpt wurde?

Erfahrene Aufsichtsbehörden erkennen den Unterschied sehr schnell. In vielen Fällen zeigt sich die Antwort bereits innerhalb der ersten fünfzig Seiten des Antrags. Unternehmen scheitern selten an technischen Details. Sie scheitern strukturell. Und die Muster wiederholen sich.

Governance-Strukturen, die auf dem Organigramm sauber aussehen, einer kritischen Befragung jedoch nicht standhalten. Geschäftsleiter mit fachlicher Eignung, bei denen die Unabhängigkeit der Kontrollfunktionen gegenüber dem operativen Geschäft zwar behauptet, aber nicht tatsächlich gelebt wird. Ein Compliance Officer, der an den CFO berichtet. Ein MLRO, dessen Stellenbeschreibung erst kurz vor Antragseinreichung erstellt wurde. Die BaFin erkennt solche Konstellationen sofort.

AML- und KYC-Frameworks, die für ein Unternehmen entwickelt wurden, wie es früher war, nicht wie es heute tatsächlich operiert. Ein Unternehmen, das von 1.000 auf 100.000 Kunden skaliert hat, aber weiterhin auf Kontrollmechanismen aus einer früheren Wachstumsphase basiert, signalisiert dem Regulator, dass Governance und Wachstum nicht synchron gewachsen sind.

Monitoring-Logiken, Kundenrisikoklassifizierungen und Eskalationsprozesse müssen reale Transaktionsmuster und reale Kundenprofile widerspiegeln. Generische Templates bestehen interne Freigaben. Regulatorischer Prüfung halten sie in der Regel nicht stand. Und Regulatoren erkennen den Unterschied sofort.

Outsourcing- und Cloud-Strukturen, die operativ essenziell, regulatorisch jedoch praktisch unsichtbar sind. Die meisten Krypto-Unternehmen hängen heute in erheblichem Maße von Drittanbietern ab, z.B. Cloud-Provider, Custody-Lösungen, Screening-Tools oder Datenanbieter. Unter MiCA und DORA muss jede wesentliche Auslagerung dokumentiert, risikobewertet, vertraglich gesteuert und fortlaufend überwacht werden. Unternehmen, die Infrastruktur bislang primär als IT- oder Einkaufsentscheidung betrachtet haben, bauen diese Governance-Strukturen nun unter erheblichem Zeitdruck nach. Und Governance unter regulatorischem Druck nachzubauen ist fast immer teurer, als sie frühzeitig sauber aufzusetzen.

Ein Businessplan, der wie ein Pitch Deck klingt. Regulatoren sind keine Investoren. Marktpotenzial und Wachstumsfolien überzeugen keine Aufsichtsbehörde. Gefordert wird ein konsistentes, belastbares Betriebsmodell: mit nachvollziehbarer Kostenstruktur einschließlich Compliance-Kosten, Kapitalplanungslogik und einem realistischen Expansionsmodell. Ein Geschäftsplan, der die Frage nicht beantworten kann, wie das Unternehmen bei doppelter Größe weiterhin solvent und compliant bleibt, wird zwangsläufig zu Rückfragen führen und häufig zu Rückfragen, die das Unternehmen kurzfristig nicht beantworten kann.

Die Übergangsfrist-Falle — kein Sicherheitsnetz, sondern eine sich schließende Tür

Es gibt eine Konsequenz der Übergangsregelung, die viele Unternehmen weiterhin unterschätzen.

Die Nutzung der Übergangsfrist ist eine Hochrisikostrategie. Sie verzögert die Fähigkeit, EU-weit zu skalieren, und zwingt Unternehmen dazu, gegen vollständig lizenzierte MiCA-Anbieter anzutreten, die ihre Dienstleistungen bereits unmittelbar passporten können. Ein Unternehmen, das sich in Deutschland noch innerhalb einer Übergangsregelung bewegt, bleibt faktisch ein rein nationaler Anbieter. Selbst wenn ein Unternehmen in seinem Heimatstaat Bestandsschutz genießt, kann es seine Dienstleistungen nicht EU-weit passporten, bevor die vollständige MiCA-Lizenz erteilt wurde. Jeder Monat innerhalb der Übergangsphase statt innerhalb des lizenzierten Regimes bedeutet verlorenen Zugang zum EU-Markt, während lizenzierte Wettbewerber diesen Markt bereits besetzen.

Gleichzeitig schließt sich das Zeitfenster auch regulatorisch. ESMA hat ausdrücklich darauf hingewiesen, dass kurzfristig eingereichte Zulassungsanträge einer erhöhten regulatorischen Prüfung unterliegen werden. Gleichzeitig wurde klargestellt, dass nationale Behörden gegen Unternehmen vorgehen sollen, die weiterhin ohne Zulassung Dienstleistungen erbringen. Das ist keine bürokratische Warnung. Ein Antrag, der im Juni 2026 eingereicht wird, wird regulatorisch anders bewertet werden als ein Antrag aus Januar 2026, selbst wenn der Inhalt identisch wäre. Die Unterlagen mögen gleich sein. Die Haltung des Regulators wird es nicht sein.

Die Stablecoin-Opportunity, aber nur für vorbereitete Unternehmen

MiCA schafft erstmals regulatorische Klarheit für Stablecoins im institutionellen Maßstab. 2026 dürfte das Jahr werden, in dem Stablecoins erstmals in relevantem Umfang im Treasury-Management deutscher Unternehmen eingesetzt werden, gerade weil MiCA den regulatorischen Rahmen dafür geschaffen hat.

Corporate-Treasury-Teams experimentieren nicht mit unregulierter Infrastruktur. Und sie führen keine Gespräche mit Gegenparteien, die keine MiCA-Zulassung nachweisen können. Das Marktpotenzial ist real. Es ist groß. Und es bleibt strukturell für nicht-lizenzierte Anbieter verschlossen.

Die Unternehmen, die künftig Corporate-Treasury-Beziehungen im Bereich digitaler Assets dominieren werden, sind die Unternehmen, die bereits heute lizenziert sind, nicht die Unternehmen, die es irgendwann sein möchten. Für viele Anbieter entwickelt sich die MiCA-Zulassung damit zunehmend weniger zu einer regulatorischen Pflicht als zu einer Voraussetzung institutioneller Relevanz.

Die eigentliche Frage ist nicht, ob noch Zeit bleibt. Sondern ob die Struktur die Zulassung trägt.

msg for banking begleitet seit über 24 Monaten CASP-Lizenzierungsprojekte mit verschiedenen europäischen Aufsichtsbehörden, in laufenden regulatorischen Verfahren und mit realen Mandanten.

Wir wissen, welche Anforderungen einzelne Behörden bei Antragseinreichung tatsächlich erwarten, wie Prüfungsprozesse ablaufen und an welchen Punkten Verfahren regelmäßig ins Stocken geraten.

Was wir immer wieder sehen, ist dass der Zeitdruck real ist. Unternehmen, die früh gestartet sind, haben aber weiterhin realistische Chancen, ihre Verfahren sauber umzusetzen, sofern die zugrunde liegende operative und regulatorische Struktur belastbar ist. Nicht beherrschbar wird es dort, wo Governance-Strukturen kurzfristig zusammengestellt statt organisch aufgebaut wurden, AML-Frameworks lediglich dokumentiert statt tatsächlich gelebt werden oder Outsourcing-Strukturen erstmals kurz vor Antragstellung regulatorisch aufgearbeitet werden. Regulatoren haben mittlerweile genügend Anträge gesehen, um diese Unterschiede sofort zu erkennen.

Die Unternehmen, mit denen wir arbeiten, gehen mit einem Betriebsmodell in die Antragstellung, das Regulatoren hinterfragen, testen und letztlich als glaubwürdig bewerten können. Genau das entscheidet darüber, ob ein Antrag erfolgreich ist, sechs Monate in Rückfragen festhängt oder scheitert.

Der 1. Juli 2026 ist nur noch acht Wochen entfernt. Ein MiCA-Antrag benötigt Monate. Die Governance- und Kontrollstrukturen, die dafür erforderlich sind, benötigen meist deutlich länger, als viele Unternehmen erwarten. Deshalb stehen heute genau die Unternehmen unter dem größten Druck, die zu lange gewartet haben.