Einführung
Mit dem Ende der MiCAR-Übergangsfrist stehen Anbieter von Kryptowerte-Dienstleistungen (CASPs) vor neuen Herausforderungen: Zugang zu Banken und regulierten Partnern, eine wirksame Geldwäscheprävention, DAC8-Reporting und die Nachweisfähigkeit gegenüber der Aufsicht entscheiden zunehmend darüber, ob ein Krypto-Unternehmen sein Geschäft in Europa erfolgreich betreiben und skalieren kann.
Seit dem 1. Juli 2026 ist die Erbringung von Kryptowerte-Dienstleistungen in der EU ohne die erforderliche MiCAR-Zulassung nicht mehr nur eine Compliance-Frage. Sie ist eine Frage des Marktzugangs. ESMA erwartete von nicht zugelassenen Anbietern von Kryptowerte-Dienstleistungen (CASPs), dass sie ihre Pläne zur Einstellung der betroffenen Geschäftstätigkeiten bis zu diesem Zeitpunkt umgesetzt haben. Ein noch laufendes Zulassungsverfahren verschafft keine zusätzliche Übergangsfrist.
Das ist jedoch nur ein Teil der Entwicklung im Jahr 2026. Für Unternehmen, die ihre MiCAR-Zulassung bereits erhalten haben, stellt sich inzwischen eine andere Frage: Was kommt nach der Zulassung?
Die Zulassung eröffnet den Zugang zum regulierten europäischen Kryptomarkt. Für bereits zugelassene Unternehmen ist sie jedoch nicht mehr die zentrale Herausforderung.
Ob ein Krypto-Unternehmen in Europa ein tragfähiges Geschäftsmodell aufbauen und skalieren kann, hängt inzwischen von fünf Fragen ab.
- Ist der regulatorische Marktzugang gesichert?
- Stehen die erforderlichen Banken und regulierten Partner zur Verfügung?
- Funktionieren die Kontrollen zur Geldwäscheprävention im operativen Betrieb?
- Werden die für DAC8 erforderlichen Daten vollständig erhoben?
- Und kann das Unternehmen gegenüber der Aufsicht nachweisen, dass die implementierten Kontrollen tatsächlich wirksam sind?
Eine Lizenz beantwortet nur die erste Frage. Die anderen vier entscheiden darüber, ob das Unternehmen tatsächlich in Europa tätig ist.
Fünf Fragen, eine Entwicklung
- Zulassung
- Zugang
- Umsetzung
- Daten
- Nachweis
1. Zulassung: Ohne MiCAR-Zulassung ist alles Weitere nachrangig
Für Unternehmen, denen die erforderliche Zulassung noch fehlt, hat diese Frage derzeit Priorität. Alle weiteren Themen dieses Beitrags setzen einen tragfähigen regulatorischen Marktzugang voraus.
Der Kreis zugelassener Anbieter ist weiterhin vergleichsweise klein. Ende August 2026 waren im öffentlichen ESMA-Register rund 330 zugelassene CASPs in der EU erfasst. Eine MiCAR-Zulassung verschafft einem Unternehmen damit Zugang zum regulierten Markt. Sie verändert jedoch nicht automatisch die Beurteilung des Geschäftsmodells, der Krypto-Exponierung oder der Geldwäscherisiken durch Banken und andere Geschäftspartner.
Für Unternehmen, die ihren regulatorischen Status noch klären müssen, sind die Handlungsoptionen begrenzter, als der Begriff „Compliance-Roadmap“ vermuten lässt. Ein Unternehmen kann eine eigene MiCAR-Zulassung anstreben. Es kann sein Geschäftsmodell so anpassen, dass die ausgeübten Tätigkeiten nicht mehr als zulassungspflichtige Kryptowerte-Dienstleistungen einzuordnen sind. Weitere Optionen sind die Zusammenarbeit mit einem bereits zugelassenen CASP im Rahmen eines geeigneten White-Label-Modells, M&A-Transaktionen, die Migration von Kunden auf eine zugelassene Gesellschaft oder der Rückzug aus einzelnen Märkten oder Dienstleistungen.
Ein Punkt ist dabei besonders wichtig: Ein White-Label-Modell lässt die regulatorische Verantwortung nicht verschwinden. Erbringt der zugelassene CASP die regulierte Kryptowerte-Dienstleistung, muss das Geschäfts- und Betriebsmodell diese Rollenverteilung auch tatsächlich abbilden. Auslagerungen können das Betriebsmodell unterstützen. Sie dürfen jedoch nicht dazu führen, dass ein nicht zugelassenes Unternehmen faktisch als Anbieter der regulierten Dienstleistung auftritt.
Für Unternehmen, die ein solches Modell erwägen, lautet die entscheidende Frage daher nicht nur, ob eine White-Label-Struktur grundsätzlich möglich ist. Entscheidend ist, welche Tätigkeiten innerhalb des regulatorischen Perimeters liegen, wer hierfür verantwortlich ist und ob diese Zuordnung in den Verträgen, in der Customer Journey und im laufenden Betrieb eindeutig umgesetzt wird.
Wie solche Modelle ausgestaltet werden können und wo ihre regulatorischen Grenzen liegen, haben wir in unserem Beitrag: MiCA-Lizenz ohne eigene Lizenz: Wie nicht-EU-Unternehmen legal in Europa operieren können und wo der Regulatory Perimeter zieht vertieft.
Management-Frage: Wenn Ihr Zugang zum EU-Markt von der MiCAR-Zulassung eines anderen Unternehmens abhängt, wissen Sie, was mit Ihren Kunden und Ihrer Geschäftstätigkeit geschieht, wenn sich dessen Zulassung, die Partnerschaft oder das zugrunde liegende Betriebsmodell verändert?
2. Zugang: Eine MiCAR-Zulassung garantiert noch keine Bankverbindung
Unternehmen, die die Zulassungshürde genommen haben, stehen vor einem weiteren Problem. Die regulatorische Erlaubnis, ein Geschäft zu betreiben, ist nicht gleichbedeutend mit der tatsächlichen Fähigkeit, dieses Geschäft am Markt umzusetzen.
Ein Krypto-Unternehmen kann über ein tragfähiges Produkt und eine MiCAR-Zulassung verfügen und dennoch Schwierigkeiten haben, Bankverbindungen, Zahlungskonten, Fiat-Zahlungswege, Acquiring- und Payment-Provider, Verwahrstellen, regulierte Vertriebspartner oder institutionelle Gegenparteien zu gewinnen und dauerhaft zu halten.
Die MiCAR-Zulassung beseitigt die Anforderungen auf Seiten dieser Geschäftspartner nicht. Banken unterliegen eigenen aufsichtsrechtlichen Anforderungen und ihrer eigenen Risikobereitschaft. Krypto-bezogene Geschäftsmodelle können zusätzliche Risiken in den Bereichen Geldwäscheprävention, operationelle Risiken und Reputation mit sich bringen. Abhängig von der konkreten Exponierung können auch Eigenkapitalanforderungen relevant sein. Ein CASP kann daher die Anforderungen seiner eigenen Aufsicht erfüllen und dennoch die Risikoprüfung einer potenziellen Partnerbank nicht bestehen.
Für das Management sind deshalb zwei unterschiedliche Formen des Marktzugangs zu unterscheiden.
- Regulatorischer Marktzugang: Dürfen wir diese Dienstleistung rechtlich erbringen?
- Kommerzieller Marktzugang: Sind Banken, Zahlungsdienstleister, Verwahrstellen und andere regulierte Unternehmen bereit, mit uns zusammenzuarbeiten?
Diese Unterscheidung ist keine theoretische. In unserer Beratungspraxis sehen wir Unternehmen mit grundsätzlich tragfähigen Geschäftsmodellen, die beim Aufbau von Bankbeziehungen an den Due-Diligence-Anforderungen der potenziellen Partnerbank scheitern.
In einem konkreten Fall hatte ein Schweizer Zahlungsdienstleister mehrfach erfolglos versucht, ein Konto bei einer deutschen Bank zu eröffnen. Erst nachdem Transaktionsflüsse, AML-Rahmenwerk, Governance-Struktur, Qualifikation der Schlüsselfunktionen und Risikoanalyse in einer bankfähigen Onboarding-Dokumentation zusammengeführt worden waren, konnte das Konto im nächsten Anlauf ohne weitere Rückfragen eröffnet werden. Diesen und weitere Praxisfälle zum Markteintritt behandeln wir ausführlicher in unserem MiCA Market Entry Guide 2026.
Die Schlussfolgerung reicht über den Einzelfall hinaus. Eine Zulassung oder ein anderweitig tragfähiger regulatorischer Status belegt, dass ein Unternehmen sein Geschäft grundsätzlich ausüben darf. Daraus folgt nicht, dass ein anderes reguliertes Unternehmen bereit sein muss, die mit diesem Geschäftsmodell verbundenen Risiken zu übernehmen.
Eine MiCAR-Zulassung beantwortet daher nur die Frage des regulatorischen Marktzugangs. Über den kommerziellen Marktzugang entscheiden die Geschäftspartner auf Basis ihrer eigenen Risikobereitschaft. Genau hier kann für ansonsten regelkonforme CASPs der eigentliche Engpass entstehen.
Management-Frage: Wenn morgen eine Ihrer drei wichtigsten Bank- oder Zahlungsverkehrsbeziehungen wegfiele, könnte Ihr Unternehmen den Geschäftsbetrieb ohne Unterbrechung fortsetzen?
3. Umsetzung: Geldwäscheprävention im Kryptogeschäft wird zum operativen Dauertest
Die neue europäische Anti-Geldwäschebehörde AMLA mit Sitz in Frankfurt hat die strategische Analyse des Kryptowerte-Sektors als eine ihrer Prioritäten für die Jahre 2026 bis 2028 identifiziert. Dies ist ein frühes Signal für die zunehmende aufsichtsrechtliche Aufmerksamkeit, die AML-Rahmenwerke von CASPs erfahren dürften.
Für Anbieter von Kryptowerte-Dienstleistungen gehen die schwierigen Fragen inzwischen weit über die Auslegung regulatorischer Anforderungen und die Erstellung von Richtlinien hinaus.
Wie wird ein Kunde risikoseitig eingestuft, dessen Aktivitäten überwiegend On-Chain stattfinden? Wie ist mit indirekten Verbindungen zu Mixern oder sanktionierten Wallet-Adressen umzugehen? Wie lässt sich eine legitime selbst gehostete Adresse von einem nicht akzeptablen Risiko unterscheiden? Und wie werden klassische KYC-Prozesse, Blockchain-Analysen und die nach der Geldtransferverordnung erforderlichen Informationen in einem durchgängigen operativen Prozess zusammengeführt?
Gerade bei Transfers von oder zu selbst gehosteten Adressen bestehen spezifische regulatorische Anforderungen. Auch die BaFin stellt diese Pflichten im Zusammenhang mit der europäischen Geldtransferverordnung ausdrücklich heraus.
Diese Fragen lassen sich nicht allein durch eine Richtlinie beantworten. Die Kontrollen müssen im operativen Transaktionsprozess funktionieren. Sie müssen konsistent angewendet werden und auch bei steigenden Transaktionsvolumina belastbar bleiben.
Deshalb sind auch die ab Juli 2027 anwendbaren Anforderungen der AMLR bereits heute relevant. AMLA sieht insbesondere in grenzüberschreitenden Geschäftsmodellen, technologischen Besonderheiten und anonymitätsfördernden Merkmalen des Kryptowerte-Sektors erhöhte Geldwäsche- und Terrorismusfinanzierungsrisiken. Unternehmen, die gerade erhebliche Ressourcen in ihre MiCAR-Umsetzung investiert haben, können daher bereits vor Juli 2027 vor der nächsten Weiterentwicklung ihres Financial-Crime-Rahmenwerks stehen.
Management-Frage: Kann Ihr Unternehmen eine risikobehaftete On-Chain-Transaktion von der Erkennung bis zur Entscheidung nachvollziehen und auch sechs Monate später noch reproduzierbar belegen, warum sie eskaliert, freigegeben, eingeschränkt oder gemeldet wurde?
4. Daten: DAC8 läuft bereits, auch wenn die erste Meldung erst 2027 erfolgt
DAC8 gilt seit dem 1. Januar 2026. Meldepflichtige Anbieter von Kryptowerte-Dienstleistungen müssen daher bereits heute die relevanten Informationen zu meldepflichtigen Transaktionen von in der EU ansässigen Nutzern erheben, auch wenn die ersten Meldungen für das Jahr 2026 erst 2027 abzugeben sind.
Daraus entsteht bereits heute ein konkretes Steuerungsproblem. Werden die erforderlichen Daten nicht vollständig und korrekt erhoben, kann eine spätere Rekonstruktion aufwendig, unvollständig oder bei einzelnen Datenpunkten unmöglich sein.
DAC8-Readiness ist deshalb nicht nur eine steuerliche oder rechtliche Fragestellung. Sie ist zugleich eine Daten- und Betriebsmodellfrage. Unternehmen müssen regulatorische Anforderungen in konkrete Kundendaten, Transaktionsklassifizierungen, Datenqualitätskontrollen und eine belastbare Reporting-Infrastruktur übersetzen.
Damit gehört DAC8 zu den unmittelbar relevanten Themen des Jahres 2026. Die erste Meldung erfolgt zwar erst 2027. Über deren Qualität entscheidet jedoch bereits heute, welche Daten erhoben werden und ob diese vollständig, korrekt und auswertbar vorliegen.
Management-Frage: Könnten Sie bereits heute den vollständigen Kunden- und Transaktionsdatenbestand bereitstellen, den Sie für Ihre erste DAC8-Meldung benötigen?
5. Nachweis: Die Zulassung bestätigt die Ausgangslage, die laufende Aufsicht prüft die Realität
Nach Erteilung der MiCAR-Zulassung kann der Eindruck entstehen, das regulatorische Umsetzungsprogramm sei abgeschlossen. Die aktuelle Aufsichtspraxis weist in die entgegengesetzte Richtung. Auch die BaFin stellt ihre Informationen zur MiCAR-Zulassung ausdrücklich in den Zusammenhang mit den anschließenden Pflichten gegenüber der laufenden Aufsicht.
Am 8. Juli 2026 startete ESMA eine Common Supervisory Action zur digitalen operationellen Resilienz von CASPs, die Verwahrdienstleistungen erbringen. Die nationalen Aufsichtsbehörden führen die Prüfung anhand einer risikoorientierten Auswahl zugelassener CASPs durch. Gegenstand sind unter anderem Schlüssel- und Speicherverwaltung, Transaktionskontrollen, Erkennung und Behandlung von Vorfällen, Smart-Contract-Risiken sowie Abhängigkeiten von Drittparteien. Die Prüfung läuft vom zweiten Halbjahr 2026 bis in das erste Halbjahr 2027. Anschließend werden die Ergebnisse auf europäischer Ebene konsolidiert.
Die Bedeutung geht über die Kryptoverwahrung hinaus. Eine MiCAR-Zulassung zeigt, dass ein Unternehmen zum Zeitpunkt der Zulassung ein Geschäfts- und Betriebsmodell etabliert hat, das die einschlägigen Anforderungen erfüllt. Die laufende Aufsicht prüft, ob dieses Modell anschließend tatsächlich wie vorgesehen funktioniert.
Dasselbe Prinzip gilt für die operationelle Resilienz nach DORA, Auslagerungen, Governance und Vorkehrungen zur Verhinderung und Aufdeckung von Marktmissbrauch. Diese Themen sind keine einmaligen Bestandteile eines Zulassungsantrags. Es handelt sich um laufende Anforderungen. Unternehmen müssen deshalb nicht nur angemessene Kontrollen implementieren, sondern auch belastbar nachweisen können, dass diese Kontrollen wirksam durchgeführt werden.
Markteintritt und laufender Geschäftsbetrieb sollten daher nicht als getrennte Projekte verstanden werden. Governance, Geldwäscheprävention, Auslagerungssteuerung und ICT-Strukturen, mit denen der Markteintritt ermöglicht wurde, müssen auch bei wachsendem Geschäft belastbar bleiben. Unser MiCA Market Entry Guide 2026 betrachtet diesen Weg ausführlicher, von der Wahl des geeigneten Marktzugangs bis zum Aufbau des Betriebsmodells hinter der Zulassung.
Management-Frage: Welche Nachweise können Sie für jede wesentliche Kontrolle aus Ihrem MiCAR-Zulassungsverfahren vorlegen, die belegen, dass diese seit der Zulassung wie vorgesehen durchgeführt wurde und nicht lediglich konzeptionell vorhanden ist?
Fazit: Die entscheidende Management-Frage
Zusammen bilden die fünf Themen eine durchgängige Kette.
Dürfen Sie Ihr Geschäft unter MiCAR betreiben? Haben Sie Zugang zu den Banken und regulierten Partnern, die Sie benötigen? Funktionieren Ihre Kontrollen zur Geldwäscheprävention auch bei realen Transaktionsvolumina? Reicht Ihre heutige Datenbasis aus, um die DAC8-Anforderungen zu erfüllen? Und können Sie gegenüber der Aufsicht nachweisen, dass Ihr Betriebsmodell und die darin verankerten Kontrollen tatsächlich funktionieren?
Die MiCAR-Zulassung beantwortet die erste Frage. Die übrigen vier beantwortet sie nicht.
Für den nachhaltigen Erfolg eines Krypto-Geschäfts in Europa werden genau diese vier Fragen zunehmend entscheidend.
Für das Management von Krypto-Unternehmen sollte der Ausgangspunkt daher nicht die nächste allgemeine MiCAR-Gap-Analyse sein. Entscheidend ist vielmehr, den Engpass im eigenen Geschäftsmodell zu identifizieren: regulatorischer Marktzugang, Zugang zu Banken und Partnern, operative Geldwäscheprävention, DAC8-Daten oder Nachweisfähigkeit gegenüber der Aufsicht.
