Kryptoverwahrung und Erlaubnispflicht nach MiCAR

Einleitung: Wenn aus dem Wallet-Angebot ein erlaubnispflichtiges Geschäft wird

Ein Fintech-Start-up entwickelt eine Wallet-App, mit der Kunden ihre Kryptowerte verwalten können. Ein etabliertes Zahlungsinstitut überlegt, private Schlüssel seiner Geschäftskunden treuhänderisch zu verwahren, um ihnen den Umgang mit Kryptowerten zu erleichtern. Ein mittelständisches Unternehmen bietet institutionellen Anlegern an, deren Bestände an Kryptowerten technisch zu sichern. In allen drei Fällen stellt sich dieselbe Frage, die in der Praxis regelmäßig unterschätzt wird: Wer für Dritte Kryptowerte oder die Mittel für deren Zugang – etwa private kryptografische Schlüssel – sicher verwahrt oder kontrolliert, erbringt eine eigenständig erlaubnispflichtige Finanzdienstleistung. Seit dem 30. Dezember 2024 richtet sich diese Erlaubnispflicht unmittelbar nach der Verordnung (EU) 2023/1114 über Märkte für Kryptowerte, kurz MiCAR (Markets in Crypto-Assets Regulation), die frühere Erlaubnistatbestände des deutschen Rechts weitgehend abgelöst hat.

Dieser Beitrag richtet sich an Unternehmer, Geschäftsführer und Anbieter von Krypto-Dienstleistungen, die entweder selbst Kryptoverwahrung anbieten wollen oder deren Geschäftsmodell – oft ungewollt – Verwahrungselemente enthält. Er nimmt bewusst die Perspektive des Anbieters ein, nicht die des Anlegers: Wer selbst als Verwahrer oder Anbieter in die Erlaubnispflicht hineingerät, trägt aufsichts- und gegebenenfalls strafrechtliche Verantwortung, wenn diese Pflicht übersehen wird.

Was ist Kryptoverwahrung im Sinne der MiCAR?

Die Legaldefinition

Die MiCAR definiert in Artikel 3 Absatz 1 Nummer 17 die „Verwahrung und Verwaltung von Kryptowerten im Auftrag von Kunden“ als die sichere Aufbewahrung oder Kontrolle von Kryptowerten oder der Mittel für den Zugang zu solchen Kryptowerten für Kunden, gegebenenfalls in Form von privaten kryptografischen Schlüsseln. Zwei Elemente dieser Definition verdienen besondere Aufmerksamkeit, weil sie in der Praxis häufig zu Fehleinschätzungen führen.

Erstens genügt bereits die Kontrolle über den Zugang – nicht erst die physische oder digitale Verwahrung der Kryptowerte selbst. Ein Unternehmen, das private Schlüssel seiner Kunden speichert, verschlüsselt oder in einem Multi-Signatur-Verfahren mitverwaltet, erbringt damit regelmäßig bereits eine Verwahrungsdienstleistung, selbst wenn die Kryptowerte technisch weiterhin auf einer öffentlichen Blockchain und nicht „im Haus“ des Anbieters liegen. Zweitens ist die „Verwaltung“ von Kryptowerten als die laufende Ausübung von Rechten aus dem Kryptowert zu verstehen – etwa die Teilnahme an einem Staking-Verfahren oder die Ausübung von Stimmrechten aus einem Token im Auftrag des Kunden. Wer beides – Zugangskontrolle und laufende Rechtsausübung – für Kunden übernimmt, erbringt eine Kryptowerte-Dienstleistung im Vollsinn des Artikel 3 Absatz 1 Nummer 17 MiCAR.

Praxisbeispiel: Ein Anbieter von Krypto-Zahlungslösungen wirbt damit, dass Kunden „nie selbst ihre Schlüssel verwalten müssen“. Diese vermeintlich kundenfreundliche Vereinfachung ist rechtlich der Kern der Erlaubnispflicht: Sobald der Anbieter die Schlüssel hält, kontrolliert oder mitverwaltet, betreibt er Kryptoverwahrung im Sinne der MiCAR – unabhängig davon, ob er sich selbst als „Wallet-Anbieter“, „Custody-Lösung“ oder schlicht als „Payment-Dienstleister“ bezeichnet. Die aufsichtsrechtliche Einordnung folgt der tatsächlichen Funktion, nicht der Selbstbezeichnung.

Eine von zehn Kryptowerte-Dienstleistungen

Die MiCAR unterscheidet in Artikel 3 Absatz 1 Nummer 16 insgesamt zehn verschiedene Kryptowerte-Dienstleistungen, deren gewerbsmäßige Erbringung jeweils eigenständig erlaubnispflichtig ist: neben der Verwahrung und Verwaltung unter anderem der Betrieb einer Handelsplattform für Kryptowerte, der Tausch von Kryptowerten gegen Geldmittel oder gegen andere Kryptowerte, die Ausführung von Aufträgen für Kryptowerte, die Platzierung von Kryptowerten, die Annahme und Übermittlung von Aufträgen, die Anlageberatung zu Kryptowerten, die Portfolioverwaltung sowie der Transfer von Kryptowerten im Auftrag von Kunden. Wer mehrere dieser Dienstleistungen gleichzeitig erbringt, benötigt eine kombinierte Zulassung, die sich nach der jeweils höchsten einschlägigen Anforderungsklasse richtet.

Für die Praxis bedeutet diese Systematik: Eine Kryptobörse, die zugleich Kundenbestände verwahrt, benötigt regelmäßig sowohl die Zulassung für den Betrieb der Handelsplattform als auch für die Verwahrung – zwei rechtlich getrennte, aber häufig faktisch zusammenfallende Dienstleistungen, die gemeinsam beantragt werden können.

Von der deutschen Übergangslösung zur europäischen Vollregulierung

Die frühere Rechtslage: Kryptoverwahrgeschäft nach § 1 Abs. 1a Satz 2 Nr. 6 KWG

Bereits seit dem 1. Januar 2020 kannte das deutsche Kreditwesengesetz (KWG) mit § 1 Abs. 1a Satz 2 Nr. 6 KWG einen eigenständigen Erlaubnistatbestand für das sogenannte Kryptoverwahrgeschäft – seinerzeit eine Reaktion des deutschen Gesetzgebers auf ein europaweit noch unreguliertes Feld. Diese nationale Vorreiterrolle Deutschlands führte dazu, dass zahlreiche Anbieter bereits vor Geltung der MiCAR eine BaFin-Erlaubnis für das Kryptoverwahrgeschäft nach dem KWG besaßen.

Mit der MiCAR hat sich die Regulierungslogik grundlegend geändert: Statt eines nationalen Alleingangs gilt seither eine unmittelbar anwendbare EU-Verordnung, die den Erlaubnistatbestand der Kryptoverwahrung europaweit vereinheitlicht und den früheren deutschen Sondertatbestand des § 1 Abs. 1a Satz 2 Nr. 6 KWG im Ergebnis verdrängt. Der deutsche Gesetzgeber hat diese Ablösung nachvollzogen, indem er den KWG-Tatbestand für neu aufgenommene Tätigkeiten seit Geltung der MiCAR nicht mehr als eigenständige Erlaubnisgrundlage vorsieht; maßgeblich ist seither die CASP-Zulassung nach der MiCAR.

Die deutsche Umsetzung: FinmadiG und KMAG

Deutschland hat die begleitenden Vorschriften zur MiCAR mit dem Finanzmarktdigitalisierungsgesetz (FinmadiG) geschaffen. Dessen zentraler Bestandteil ist das Kryptomärkteaufsichtsgesetz (KMAG) vom 27. Dezember 2024, das seit dem 30. Dezember 2024 – zeitgleich mit der vollständigen Anwendbarkeit der MiCAR-Vorschriften zur Zulassung und Aufsicht über Kryptowerte-Dienstleister (Titel V MiCAR) – in Kraft ist. Das KMAG regelt insbesondere die Zuständigkeit der BaFin als nationale Aufsichtsbehörde, die Straf- und Bußgeldvorschriften bei Verstößen gegen die MiCAR sowie die Übergangsvorschriften für Unternehmen, die bereits vor Geltung der MiCAR im Kryptogeschäft tätig waren.

Praxisbeispiel: Ein Zahlungsinstitut, das bereits 2022 eine Kryptoverwahrgeschäft-Erlaubnis nach § 1 Abs. 1a Satz 2 Nr. 6 KWG erhalten hatte, musste sich nicht darauf verlassen, dass diese Erlaubnis dauerhaft fortbesteht. Es musste – wie unten dargestellt – rechtzeitig eine eigenständige Zulassung nach der MiCAR beantragen, um seine Verwahrungsdienstleistungen über den Ablauf der Übergangsfrist hinaus fortführen zu dürfen.

Erlaubnispflicht nach Art. 59 MiCAR: Wer braucht eine CASP-Lizenz?

Grundsatz: Zulassung durch die BaFin

Nach Artikel 59 Absatz 1 Buchstabe a MiCAR ist die gewerbsmäßige Erbringung von Kryptowerte-Dienstleistungen – und damit auch der Kryptoverwahrung – nur natürlichen und juristischen Personen sowie bestimmten anderen Unternehmen gestattet, die zuvor als Kryptowerte-Dienstleister (im internationalen Sprachgebrauch: Crypto-Asset Service Provider, CASP) zugelassen wurden. Gewerbsmäßigkeit setzt nach dem Verständnis der BaFin voraus, dass die Tätigkeit auf eine gewisse Dauer angelegt ist und mit Gewinnerzielungsabsicht betrieben wird – ein einmaliges, unentgeltliches Verwahren im Freundeskreis fällt also nicht darunter, wohl aber jedes strukturierte Geschäftsmodell, auch wenn es zunächst nur wenige Kunden hat.

Zuständige Behörde für die Zulassung ist in Deutschland die BaFin, die dabei mit der zuständigen Hauptverwaltung der Deutschen Bundesbank zusammenarbeitet. Nach der Zulassung durch die BaFin kann der Kryptowerte-Dienstleister seine Dienstleistungen über den sogenannten EU-Pass nach Artikel 65 MiCAR unionsweit erbringen, ohne in jedem weiteren Mitgliedstaat eine eigenständige Zulassung beantragen zu müssen – ein Vorteil, den es unter der früheren, rein nationalen KWG-Erlaubnis in dieser Form nicht gab.

Vereinfachtes Verfahren für bereits beaufsichtigte Institute

Nicht jedes Unternehmen muss das vollständige Zulassungsverfahren durchlaufen. Für bestimmte bereits nach anderem Aufsichtsrecht zugelassene Institute – insbesondere Kreditinstitute im Sinne der Eigenmittelverordnung (CRR-Kreditinstitute) sowie unter bestimmten Voraussetzungen E-Geld-Institute – sieht Artikel 60 MiCAR ein vereinfachtes Verfahren vor: Diese Unternehmen müssen der zuständigen Behörde ihre Absicht, Kryptowerte-Dienstleistungen zu erbringen, lediglich notifizieren, anstatt eine vollständige Neuzulassung zu durchlaufen. Der Umfang der zu übermittelnden Informationen ist gegenüber dem regulären Zulassungsverfahren deutlich reduziert, da die Aufsichtsbehörde auf die bereits im Rahmen der bankaufsichtlichen Zulassung geprüften Umstände zurückgreifen kann.

Eigenmittelanforderungen nach Art. 67 MiCAR

Die MiCAR staffelt die Mindesteigenmittel, die ein Kryptowerte-Dienstleister nachweisen muss, nach der Art der angebotenen Dienstleistungen in drei Klassen gemäß Anhang IV MiCAR. Für die Verwahrung und Verwaltung von Kryptowerten – Klasse 2 – beträgt das erforderliche Anfangskapital nach Artikel 67 MiCAR 125.000 Euro. Alternativ zum Eigenkapitalnachweis kann der Dienstleister eine Berufshaftpflichtversicherung oder eine vergleichbare Garantie in entsprechender Höhe vorlegen. Erbringt ein Unternehmen mehrere Kryptowerte-Dienstleistungen unterschiedlicher Klassen zugleich, richtet sich das erforderliche Mindestkapital nach der jeweils höchsten einschlägigen Klasse, nicht nach der Summe der Einzelanforderungen.

Über die reinen Kapitalanforderungen hinaus muss der Zulassungsantrag außerdem belegen, dass die Anforderungen der Verordnung über die digitale operationale Resilienz (DORA) erfüllt werden – ein Umstand, der insbesondere für kleinere Anbieter mit erheblichem organisatorischem Aufwand verbunden sein kann, weil IT-Sicherheits-, Auslagerungs- und Notfallmanagement bereits im Zulassungsverfahren nachzuweisen sind, nicht erst danach.

Übergangsfrist und Bestandsschutz: Warum das Thema heute akut ist

Die Übergangsvorschrift des § 50 KMAG

Die MiCAR selbst erlaubt es den Mitgliedstaaten in Artikel 143 Absatz 3, Unternehmen, die ihre Kryptowerte-Dienstleistungen bereits vor dem 30. Dezember 2024 rechtmäßig nach nationalem Recht erbracht haben, eine Übergangsfrist von bis zu 18 Monaten einzuräumen, in der sie ohne vollständige MiCAR-Zulassung weiterarbeiten dürfen. Der deutsche Gesetzgeber hat diese Möglichkeit jedoch nicht vollständig ausgeschöpft, sondern in § 50 KMAG eine deutlich kürzere nationale Übergangsregelung geschaffen.

Danach durften Unternehmen, die bereits am 29. Dezember 2024 über eine Erlaubnis nach dem KWG, dem Wertpapierinstitutsgesetz (WpIG), dem Zahlungsdiensteaufsichtsgesetz (ZAG), dem Börsengesetz oder dem Kapitalanlagegesetzbuch (KAGB) verfügten und auf dieser Grundlage bereits rechtmäßig Kryptowerte-Aktivitäten ausübten, diese Tätigkeiten unter Fortgeltung der zu diesem Stichtag geltenden aufsichtsrechtlichen Rechtslage zunächst fortführen. Diese Übergangserlaubnis erlosch jedoch spätestens zum 31. Dezember 2025 – und früher, sobald die BaFin über einen zwischenzeitlich gestellten Antrag auf reguläre MiCAR-Zulassung oder auf Durchführung des vereinfachten Verfahrens nach Artikel 60 MiCAR bestandskräftig entschieden hatte.

Seit dem 1. Januar 2026: keine Bestandserlaubnis mehr

Für Unternehmen, die noch immer auf Grundlage einer alten KWG-Erlaubnis Kryptowerte verwahren, ohne über eine eigenständige MiCAR-Zulassung oder eine erfolgreich abgeschlossene Notifizierung nach Artikel 60 MiCAR zu verfügen, ist die Rechtslage eindeutig und ernst: Der deutsche Bestandsschutz ist mit Ablauf des 31. Dezember 2025 ausgelaufen. Seither dürfen Kryptowerte-Dienstleistungen in Deutschland ausschließlich mit einer nach der MiCAR erteilten Zulassung erbracht werden. Ein Weiterbetrieb ohne diese Zulassung ist unerlaubtes Betreiben von Kryptowerte-Dienstleistungen mit den unten dargestellten straf- und bußgeldrechtlichen Folgen.

Diese Feststellung betrifft nicht nur neue Marktteilnehmer, sondern gerade auch etablierte, bislang ordnungsgemäß nach dem KWG lizenzierte Unternehmen, die den rechtzeitigen Übergang in das MiCAR-Regime versäumt haben. Wer sich hier auf den – zutreffenden – Hinweis verlässt, früher einmal rechtmäßig gehandelt zu haben, verkennt, dass die Übergangsvorschrift des § 50 KMAG eine zeitlich klar begrenzte Brücke war, keine dauerhafte Fortgeltung der alten Rechtslage. Die europaweite Frist von bis zu 18 Monaten nach Artikel 143 Absatz 3 MiCAR, die andere Mitgliedstaaten voll ausgeschöpft haben und die dort erst am 1. Juli 2026 endete, betraf den deutschen Markt nicht – ein Irrtum, der in der Praxis regelmäßig zu spät bemerkt wird.

Abgrenzung zu den bestehenden Beiträgen auf traub.legal

Der Beitrag MiCA 2026: Ende der Übergangsfrist für Krypto-Anbieter behandelt das Auslaufen der Übergangsfrist umfassend aus Anbieter- wie aus Anlegerperspektive; der Beitrag Kryptobörse wechseln? Was Anleger jetzt prüfen müssen richtet sich gezielt an Anleger, die prüfen müssen, ob ihr Anbieter noch zugelassen ist und ob ein Wechsel angezeigt ist. Der vorliegende Beitrag vertieft demgegenüber gezielt die Perspektive des Verwahrers: Wer selbst Kryptowerte für Dritte verwahrt oder eine solche Dienstleistung plant, muss die Erlaubnispflicht, den Bestandsschutz und die laufenden Pflichten aus eigener unternehmerischer Verantwortung heraus verstehen – nicht, um sich als Anleger zu schützen, sondern um sich nicht selbst der Gefahr eines unerlaubten Geschäftsbetriebs auszusetzen.

Pflichten der Kryptoverwahrer nach Art. 75 MiCAR

Wer die CASP-Zulassung für die Verwahrung und Verwaltung von Kryptowerten erhalten hat, unterliegt einem eigenständigen, detaillierten Pflichtenkatalog nach Artikel 75 MiCAR, der über die allgemeinen Wohlverhaltens- und Organisationspflichten der MiCAR hinausgeht und speziell auf den Schutz der Kundenvermögenswerte zugeschnitten ist.

Vermögenstrennung: Eigenes Vermögen und Kundenvermögen dürfen sich nicht vermischen

Nach Artikel 75 Absatz 6 MiCAR muss der Verwahrer die für Kunden gehaltenen Kryptowerte rechtlich und operativ von seinen eigenen Beständen trennen. Zugangsmittel zu Kundenbeständen – etwa private Schlüssel oder Signaturberechtigungen – müssen eindeutig als solche identifizierbar sein und dürfen nicht in derselben technischen oder organisatorischen Struktur wie das Eigenvermögen des Unternehmens verwaltet werden. Diese Trennungspflicht ist der zentrale Baustein des Kundenschutzes: Sie soll verhindern, dass Kundenkryptowerte im Fall wirtschaftlicher Schwierigkeiten des Verwahrers faktisch mit dessen eigenem Vermögen vermengt und damit dem Zugriff seiner Gläubiger ausgesetzt werden.

Positionsregister nach Art. 75 Abs. 7 MiCAR

Ergänzend verlangt Artikel 75 Absatz 7 MiCAR ein individuelles Positionsregister für jeden Kunden, das dessen Rechte an den verwahrten Kryptowerten vollständig abbildet. Jede Bewegung – Einzahlung, Auszahlung, Transfer oder sonstige Verfügung – ist unverzüglich in diesem Register zu erfassen. Für die Praxis bedeutet dies, dass die IT-Infrastruktur des Verwahrers von Beginn an so gestaltet sein muss, dass jederzeit nachvollziehbar ist, welcher Kryptowert in welcher Menge welchem einzelnen Kunden zusteht – eine Anforderung, die insbesondere bei jungen Unternehmen mit gewachsener, nicht von Anfang an regulatorisch durchdachter Systemarchitektur zu erheblichem Nachbesserungsbedarf führen kann.

Rechtliche Absicherung im Insolvenzfall des Verwahrers

Die für Kunden verwahrten Kryptowerte müssen so rechtlich ausgestaltet sein, dass sie im Fall der Insolvenz des Verwahrers dessen Gläubigern nicht als Haftungsmasse zur Verfügung stehen. Diese insolvenzrechtliche Segregation ist die konsequente Fortsetzung der Vermögenstrennungspflicht nach Artikel 75 Absatz 6 MiCAR: Kundenvermögen soll den Kunden auch dann erhalten bleiben, wenn der Verwahrer selbst wirtschaftlich scheitert. Der deutsche Gesetzgeber hat diesen unionsrechtlichen Grundsatz in § 45 Absatz 1 KMAG nachvollzogen, wonach der für einen Kunden verwahrte Kryptowert als diesem gehörig gilt, was ein Aussonderungsrecht im Insolvenzverfahren des Verwahrers trägt – dieser Schutz entfällt allerdings, wenn der Kunde einer Nutzung seiner Bestände durch das Institut oder Dritte zugestimmt hat, etwa im Rahmen eines Verleihprogramms. Wie sich diese insolvenzrechtliche Segregation im Einzelnen zu den übrigen Regeln der Insolvenzordnung verhält, ist eine der praktisch bedeutsamsten Schnittstellenfragen des neuen Regimes und sollte bei jeder Verwahrungsstruktur individuell mit insolvenzrechtlicher Expertise geprüft werden.

Haftung bei Verlust von Kryptowerten oder Zugangsmitteln

Besonders praxisrelevant ist die Haftungsregelung: Kryptowerte-Dienstleister, die zur Verwahrung und Verwaltung von Kryptowerten zugelassen sind, dürfen ihre Haftung gegenüber Kunden für den Verlust von Kryptowerten oder der Mittel für deren Zugang infolge eines Vorfalls im Zusammenhang mit der Erbringung der Verwahrungsdienstleistung grundsätzlich nicht ausschließen. Anders als in klassischen zivilrechtlichen Vertragsgestaltungen kann sich der Verwahrer hier also nicht durch weitreichende Haftungsausschlussklauseln von seiner Verantwortung für Sicherheitsvorfälle freizeichnen. Für Unternehmer, die eine Verwahrungsdienstleistung planen, folgt daraus unmittelbar, dass technische Sicherheitsvorkehrungen – etwa Multi-Signatur-Verfahren, Cold-Storage-Lösungen, Versicherungsschutz für Cyber-Vorfälle und ein belastbares Incident-Response-Management – nicht nur betriebswirtschaftlich sinnvoll, sondern angesichts der strengen Haftungsordnung der MiCAR wirtschaftlich existenznotwendig sind.

Praxisbeispiel: Verliert ein Verwahrer infolge eines erfolgreichen Cyberangriffs den Zugriff auf einen Teil der für Kunden gehaltenen Kryptowerte, kann er sich gegenüber den betroffenen Kunden regelmäßig nicht mit dem pauschalen Hinweis entlasten, „Hackerangriffe seien ein allgemeines Marktrisiko“. Die MiCAR verlagert das Risiko eines solchen operativen Vorfalls grundsätzlich auf den Verwahrer – ein Umstand, der bei der Kalkulation von Rücklagen, Versicherungsprämien und der Preisgestaltung der Dienstleistung von Anfang an mitgedacht werden muss.

Sanktionen bei unerlaubtem Betreiben von Kryptoverwahrung

Der Straftatbestand des § 46 KMAG

Wer Kryptowerte-Dienstleistungen entgegen Artikel 59 Absatz 1 Buchstabe a MiCAR ohne die erforderliche Zulassung erbringt, macht sich nach § 46 Absatz 1 Nummer 3 KMAG strafbar. Der Strafrahmen entspricht in seiner Grundstruktur dem klassischen Tatbestand des unerlaubten Betreibens von Bankgeschäften: Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Handelt der Täter fahrlässig, reduziert sich der Strafrahmen nach § 46 Absatz 6 KMAG auf Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Wird die Tat gewerbsmäßig, als Mitglied einer Bande oder durch eine Person begangen, die in einer besonderen Vertrauens- oder Aufsichtsstellung tätig ist, erhöht sich der Strafrahmen nach § 46 Absatz 5 KMAG auf Freiheitsstrafe von einem Jahr bis zu zehn Jahren. Bereits der Versuch ist nach § 46 Absatz 4 KMAG strafbar.

Für den unternehmerischen Alltag ist entscheidend: § 46 KMAG hat sich für den Bereich der Kryptowerte-Dienstleistungen als speziellere Nachfolgenorm neben den bekannten § 54 KWG gestellt, der das unerlaubte Betreiben von Bankgeschäften oder Finanzdienstleistungen im Übrigen weiterhin sanktioniert. Für sonstige, nicht dem Anwendungsbereich der MiCAR und des KMAG unterfallende unerlaubte Bank- und Finanzdienstleistungsgeschäfte bleibt § 54 KWG als Auffangnorm einschlägig; für die unerlaubte Erbringung einer Kryptowerte-Dienstleistung wie der Verwahrung ist inzwischen jedoch § 46 KMAG die maßgebliche Strafnorm.

Bußgeldrisiken nach § 47 KMAG

Neben dem Straftatbestand kennt das KMAG in § 47 einen eigenständigen, nach Art und Schwere des Verstoßes gestaffelten Bußgeldkatalog. Für den Verstoß gegen die Zulassungspflicht des Artikel 59 Absatz 1 Buchstabe a MiCAR sieht § 47 KMAG für natürliche Personen ein Bußgeld von bis zu 700.000 Euro, für juristische Personen von bis zu 5 Millionen Euro vor. Bei besonders schwerwiegenden Verstößen kann sich das Bußgeld zudem am erzielten wirtschaftlichen Vorteil orientieren und diesen um ein Mehrfaches übersteigen, sodass die tatsächliche Bußgeldhöhe im Einzelfall auch die dargestellten Regelbeträge überschreiten kann.

Aufsichtsrechtliches Vorgehen der BaFin

Unabhängig von einer straf- oder bußgeldrechtlichen Verfolgung kann die BaFin gegen unerlaubt betriebene Kryptowerte-Dienstleistungen mit den ihr zur Verfügung stehenden aufsichtsrechtlichen Mitteln vorgehen: Sie kann die sofortige Einstellung des Geschäftsbetriebs anordnen, die Rückabwicklung bereits geschlossener Geschäfte verlangen und im Einzelfall auch die Liquidation eines Unternehmens durchsetzen, wenn dieses beharrlich ohne die erforderliche Zulassung tätig bleibt. Diese aufsichtsrechtlichen Maßnahmen können parallel zu einem Straf- oder Bußgeldverfahren ergehen und treffen das betroffene Unternehmen regelmäßig schneller und existenzieller als das oft erst nach längerer Ermittlungsdauer abgeschlossene Straf- oder Bußgeldverfahren.

Praktische Checkliste für Unternehmen

Für Unternehmen, die Kryptoverwahrung anbieten oder nutzen wollen, empfiehlt sich folgendes strukturiertes Vorgehen:

1. Geschäftsmodell prüfen: Kontrolliert oder verwahrt mein Unternehmen in irgendeiner Form Kryptowerte oder die Zugangsmittel dazu für Dritte – auch, wenn dies nicht die Kernleistung, sondern nur eine Nebenfunktion einer anderen Dienstleistung ist? Bereits die technische Verwahrung privater Schlüssel im Rahmen eines vermeintlich anderen Produkts kann die Erlaubnispflicht auslösen.

2. Bestandsschutz-Status klären: Verfügte mein Unternehmen bereits am 29. Dezember 2024 über eine einschlägige Erlaubnis nach KWG, WpIG, ZAG, Börsengesetz oder KAGB? Falls ja: Ist der Bestandsschutz nach § 50 KMAG durch Zeitablauf zum 31. Dezember 2025 bereits erloschen, oder wurde rechtzeitig ein MiCAR-Zulassungsantrag beziehungsweise eine Notifizierung nach Artikel 60 MiCAR gestellt und bearbeitet?

3. Zulassungsweg bestimmen: Kommt für mein Unternehmen das vereinfachte Notifizierungsverfahren nach Artikel 60 MiCAR infrage (insbesondere bei bereits zugelassenen Kreditinstituten oder E-Geld-Instituten), oder ist ein vollständiges Zulassungsverfahren nach Artikel 62 ff. MiCAR erforderlich?

4. Eigenmittel und Versicherungsschutz sicherstellen: Für die Verwahrung und Verwaltung von Kryptowerten (Klasse 2 nach Anhang IV MiCAR) sind mindestens 125.000 Euro Anfangskapital oder eine gleichwertige Berufshaftpflichtversicherung nachzuweisen; bei zusätzlichen Dienstleistungen höherer Klasse steigt die Anforderung entsprechend.

5. DORA-Konformität herstellen: Bereits im Zulassungsverfahren ist die Einhaltung der Vorgaben zur digitalen operationalen Resilienz nachzuweisen – IT-Sicherheit, Auslagerungsmanagement und Notfallpläne sollten deshalb nicht erst nach, sondern bereits vor Antragstellung strukturiert dokumentiert werden.

6. Trennungsstruktur und Positionsregister technisch umsetzen: Kundenvermögen und Eigenvermögen sind organisatorisch und technisch so zu trennen, dass jederzeit ein individuelles Positionsregister je Kunde nach Artikel 75 Absatz 7 MiCAR geführt werden kann – idealerweise von Beginn der Systementwicklung an, nicht als nachträgliche Anpassung.

7. Haftungsrisiken versichern: Da eine vertragliche Freizeichnung von der Haftung für den Verlust von Kryptowerten infolge operativer Vorfälle nach Artikel 75 MiCAR grundsätzlich ausgeschlossen ist, sollte frühzeitig geprüft werden, in welchem Umfang Cyber- und Vermögensschadenversicherungen dieses Risiko abdecken können.

8. Bei bereits laufendem, ungeklärtem Geschäftsbetrieb: sofort rechtlich prüfen lassen. Wer feststellt, dass sein Unternehmen bereits jetzt Kryptowerte-Dienstleistungen ohne wirksame MiCAR-Zulassung erbringt, sollte dies nicht aussitzen, sondern unverzüglich anwaltlich klären lassen, ob der Geschäftsbetrieb einzustellen, kurzfristig ein Zulassungsantrag zu stellen oder eine Selbstanzeige gegenüber der BaFin in Betracht zu ziehen – auch mit Blick auf mögliche strafrechtliche Risiken nach § 46 KMAG.

Typische Fehler im Umgang mit der Erlaubnispflicht

Fehler 1: Verkennen der eigenen Rolle als Verwahrer. Unternehmen, deren Kerngeschäft nicht der Kryptohandel, sondern etwa Zahlungsabwicklung oder Vermögensverwaltung ist, übersehen häufig, dass eine Nebenfunktion – das Halten privater Schlüssel für Kunden – bereits für sich genommen erlaubnispflichtig ist.

Fehler 2: Verwechslung von altem und neuem Recht. Wer sich auf eine frühere Erlaubnis nach § 1 Abs. 1a Satz 2 Nr. 6 KWG verlässt, ohne den Ablauf des Bestandsschutzes nach § 50 KMAG zum 31. Dezember 2025 im Blick zu behalten, betreibt seine Verwahrungsdienstleistung seit dem 1. Januar 2026 ohne wirksame Erlaubnis – mit sämtlichen strafrechtlichen Konsequenzen.

Fehler 3: Unterschätzen der Vermögenstrennungspflicht. Eine nachträgliche, technisch aufwendige Umstellung der IT-Architektur auf ein MiCAR-konformes Positionsregister ist regelmäßig teurer und risikoreicher als eine von vornherein regulatorisch mitgedachte Systemarchitektur.

Fehler 4: Vertragliche Haftungsausschlüsse, die MiCAR-widrig sind. Allgemeine Geschäftsbedingungen, die die Haftung für den Verlust von Kryptowerten pauschal ausschließen, sind nach Artikel 75 MiCAR unwirksam und bieten dem Verwahrer keinen wirksamen Schutz – sie erzeugen im Gegenteil ein falsches Sicherheitsgefühl.

Fehler 5: Zögerliches Handeln bei erkanntem Regelungsdefizit. Wer erkennt, dass sein Unternehmen ohne wirksame Zulassung tätig ist, und dennoch abwartet, statt unverzüglich rechtlichen Rat einzuholen, riskiert, dass sich der strafrechtliche Vorwurf mit fortdauerndem Geschäftsbetrieb verfestigt, während eine frühzeitige Reaktion Handlungsspielräume – bis hin zu einer möglichen Selbstanzeige – eröffnen kann.

Fazit: Regulatorische Neuordnung mit unmittelbarer Relevanz für Anbieter

Die MiCAR hat die Kryptoverwahrung von einem deutschen Sondertatbestand zu einer unionsweit einheitlich geregelten, eigenständigen Finanzdienstleistung gemacht. Wer Kryptowerte oder die Mittel für deren Zugang für Dritte verwahrt oder verwaltet, benötigt seit dem 30. Dezember 2024 grundsätzlich eine Zulassung als Kryptowerte-Dienstleister nach Artikel 59 MiCAR; der deutsche Bestandsschutz für zuvor nach dem KWG lizenzierte Unternehmen ist mit Ablauf des 31. Dezember 2025 endgültig ausgelaufen. Die materiellen Pflichten des zugelassenen Verwahrers nach Artikel 75 MiCAR – Vermögenstrennung, Positionsregister, strenge Haftung für operative Vorfälle – verändern die wirtschaftliche und organisatorische Kalkulation jedes Verwahrungsgeschäfts grundlegend, während unerlaubtes Betreiben nach § 46 KMAG mit Freiheitsstrafe bis zu fünf Jahren und nach § 47 KMAG mit empfindlichen Bußgeldern bedroht ist.

Für Unternehmer und Geschäftsführer bedeutet dies: Die Frage, ob das eigene Geschäftsmodell eine Kryptowerte-Dienstleistung im Sinne der MiCAR enthält, verdient eine frühzeitige, sorgfältige Prüfung – nicht erst, wenn die BaFin oder die Strafverfolgungsbehörden von sich aus tätig werden. Als Fachanwalt für Bank- und Kapitalmarktrecht sowie für Handels- und Gesellschaftsrecht berate ich Unternehmen bei der aufsichtsrechtlichen Einordnung ihres Geschäftsmodells, bei der Vorbereitung und Begleitung von MiCAR-Zulassungsverfahren sowie bei der Verteidigung, wenn der Vorwurf eines unerlaubten Geschäftsbetriebs bereits im Raum steht. Sprechen Sie mich an, bevor aus einer regulatorischen Unsicherheit ein aufsichts- oder strafrechtliches Verfahren wird.

Quellenverzeichnis

• Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (MiCAR): Artikel 3 Absatz 1 Nummer 16 und 17, Artikel 59, Artikel 60, Artikel 62 ff., Artikel 65, Artikel 67 nebst Anhang IV, Artikel 75, Artikel 143 Absatz 3
• Gesetz zur Aufsicht über Märkte für Kryptowerte (Kryptomärkteaufsichtsgesetz, KMAG) vom 27. Dezember 2024: § 45, § 46, § 47, § 50
• Kreditwesengesetz: § 1 Abs. 1a Satz 2 Nr. 6, § 54 KWG
• Verordnung über die digitale operationale Resilienz (DORA), Verordnung (EU) 2022/2554

Weiterführende Beiträge

• MiCA 2026: Ende der Übergangsfrist für Krypto-Anbieter
• Kryptobörse wechseln? Was Anleger jetzt prüfen müssen