Globale regulatorische Standards · Lektion 2 von 5
Lizenzierungs- und Verhaltensregeln für Anbieter von Krypto-Asset-Dienstleistungen
8 Min. Lesezeit
Krypto-Regime tragen in verschiedenen Ländern unterschiedliche Namen, bestehen aber aus denselben Bausteinen: einem Auslöser, der festlegt, wer eine Lizenz benötigt, Eignungsprüfungen für die Personen, die das Unternehmen führen, Kapitalanforderungen, Regeln für Kundenvermögen, Verhaltensregeln und betriebliche Resilienz. Wer diese Bausteine kennt, kann jedes neue Regime schnell erfassen, Lücken erkennen und es mit den anderen Regimen vergleichen, denen ein Unternehmen bereits unterliegt.
Die globalen Bezugspunkte
Drei Sätze internationaler Standards prägen die Regime für Anbieter von Krypto-Asset-Dienstleistungen (CASPs):
- FATF-Empfehlung 15 verpflichtet Länder, Anbieter von Dienstleistungen für virtuelle Vermögenswerte zu lizenzieren oder zu registrieren, um Geldwäsche zu bekämpfen. Sie setzt den Mindeststandard und wird in der Lektion FATF-Standards und die Travel Rule behandelt.
- Die Grundsatzempfehlungen der IOSCO für Krypto- und Digital-Asset-Märkte, die am 16. November 2023 als Abschlussbericht veröffentlicht wurden, umfassen 18 Empfehlungen für Wertpapieraufsichtsbehörden. Sie folgen dem Grundsatz „gleiche Tätigkeit, gleiches Risiko, gleiches Regulierungsergebnis“ und decken sechs Bereiche ab: Interessenkonflikte aufgrund vertikaler Integration, Marktmissbrauch und Betrug, grenzüberschreitende Zusammenarbeit, Verwahrung und Kundenvermögen, betriebliche und technologische Risiken sowie den Vertrieb an Privatkunden. Im Dezember 2023 ergänzte die IOSCO neun Grundsatzempfehlungen für dezentrale Finanzanwendungen (DeFi).
- Die hochrangigen Empfehlungen des Financial Stability Board (FSB) zu Krypto-Asset-Aktivitäten und -Märkten (Juli 2023) fordern die Behörden auf, eine umfassende Regulierung und Aufsicht sowie grenzüberschreitende Zusammenarbeit einzuführen, die im Verhältnis zu den damit verbundenen Risiken für die Finanzstabilität stehen.
Beide Gremien überprüften die Umsetzung im Oktober 2025. Die IOSCO stellte unter ihren Mitgliedern „erhebliche Fortschritte“ fest, erklärte aber, dass angesichts der Weiterentwicklung der Geschäftsmodelle weitere Arbeit erforderlich sei. Der FSB beschrieb die Umsetzung als uneinheitlich und inkonsistent, mit Lücken, die regulatorische Arbitrage ermöglichen. Es ist mit gemeinsamen Bausteinen, aber unterschiedlichen Details zu rechnen.
Zulassungsauslöser: Tätigkeit, nicht Bezeichnung
Jedes Regime beginnt mit einer Auflistung der regulierten Tätigkeiten. Ein Unternehmen benötigt eine Zulassung, wenn es eine dieser Tätigkeiten gewerbsmäßig für Kunden in der betreffenden Rechtsordnung ausübt. Typische Tätigkeiten sind:
- Betrieb einer Handelsplattform, die Käufer und Verkäufer zusammenführt;
- Tausch von Krypto-Assets gegen Fiatgeld oder andere Krypto-Assets, als Eigenhändler oder als Vermittler;
- Ausführung von Kundenaufträgen oder Annahme und Übermittlung solcher Aufträge;
- Verwahrung und Verwaltung von Krypto-Assets im Auftrag von Kunden;
- Übertragungsdienstleistungen;
- Portfoliomanagement, Beratung sowie Platzierung oder Übernahme von Token-Angeboten;
- Staking im Auftrag von Kunden und Krypto-Kreditvergabe, sofern das Regime diese Tätigkeiten abdeckt;
- Ausgabe von Stablecoins, für die üblicherweise eine gesonderte Lizenz erforderlich ist (siehe Stablecoin-Regulierung: globale Grundsätze).
Die Prüfung ist funktional, wie bei der FATF-Definition eines VASP: Entscheidend ist, was das Unternehmen tut, nicht wie es sich selbst vermarktet. Eine Plattform kann mehrere Genehmigungen benötigen. Eine Börse, die zugleich Kundenschlüssel verwahrt, Kundenvermögen verleiht und ein Staking-Programm betreibt, kann vier regulierte Tätigkeiten ausüben. Gängige Ausnahmen gelten für den Handel ausschließlich auf eigene Rechnung, reine Software- oder Infrastrukturanbieter (Node-Betreiber, Herausgeber von Wallet-Software) und Dienstleistungen innerhalb einer Unternehmensgruppe. So führt beispielsweise die MiCA-Verordnung der EU jede Krypto-Asset-Dienstleistung auf, für die eine Zulassung erforderlich ist. In den Vereinigten Staaten kann dieselbe Tätigkeit je nach Asset dagegen staatliche Lizenzen für Geldtransfer oder bundesrechtliche Wertpapier- oder Rohstoffvorschriften auslösen.
Eignung und Zuverlässigkeit, Governance und Kapital
Eignungs- und Zuverlässigkeitsprüfungen gelten für Direktoren, leitende Führungskräfte und bedeutende Anteilseigner. Geprüft werden Ehrlichkeit und Integrität, Kompetenz und Erfahrung, finanzielle Solidität sowie das Fehlen relevanter strafrechtlicher oder aufsichtsrechtlicher Einträge. Aufsichtsbehörden prüfen außerdem die Herkunft der Mittel der Eigentümer und müssen über spätere Kontrollwechsel informiert werden.
Governance-Regeln verlangen einen Verwaltungsrat, der in der Lage ist, die Geschäftsleitung kritisch zu hinterfragen, unabhängige Kontrollfunktionen (Risikomanagement, Compliance, interne Revision), einen benannten Geldwäschebeauftragten und eine tatsächliche lokale Präsenz. Eine Lizenz, die von einem „Briefkastenbüro“ gehalten wird, während die Entscheidungen anderswo getroffen werden, ist ein häufiger Ablehnungsgrund.
Kapital- und aufsichtsrechtliche Schutzvorkehrungen sollen sicherstellen, dass ein Unternehmen Verluste auffangen und seine Geschäftstätigkeit geordnet einstellen kann. Ein gängiges Modell verlangt den „höheren Wert aus“ einem festen Mindestbetrag, der von der Tätigkeit abhängt, und einem Anteil der jährlichen Fixkosten. In einem hypothetischen Regime mit einer Mindestanforderung von 150.000 und einer Anforderung in Höhe eines Viertels der Fixkosten müsste ein Unternehmen mit jährlichen Fixkosten von 8.000.000 Kapital in Höhe von 2.000.000 halten, da der auf den Fixkosten beruhende Betrag höher ist. Einige Regime akzeptieren Versicherungen für einen Teil des Betrags; viele verlangen zudem liquide Vermögenswerte und einen erprobten Abwicklungsplan.
Kundenvermögen: Trennung und Verwahrung
Die meisten großen Verluste im Kryptobereich entstanden bei Unternehmen, die Kundenvermögen wie eigenes Vermögen verwendeten. Die Empfehlungen der IOSCO zu Kundenvermögen legen die erwarteten Ergebnisse fest.
| Anforderung | Was dadurch verhindert wird | Welche Nachweise anzufordern sind |
|---|---|---|
| Trennung vom eigenen Vermögen des Unternehmens, in einem Treuhand- oder insolvenzfernen Aufbau | Verlust von Kundenvermögen bei Insolvenz des Unternehmens | Rechtliche Stellungnahme zum Aufbau; getrennte Wallets oder Konten |
| Keine Verwendung von Kundenvermögen ohne ausdrückliche Zustimmung | Verdeckte Kreditvergabe, Weiterverpfändung oder Handel | Vertragsbedingungen; On-Chain-Transaktionen, abgeglichen mit den erteilten Zustimmungen |
| Häufiger Abgleich von On-Chain-Beständen mit internen Aufzeichnungen | Verbergen eines Fehlbestands hinter dem internen Hauptbuch | Tägliche Abgleichsberichte und Angaben dazu, wie Abweichungen behoben werden |
| Unabhängige Prüfung, mindestens jährlich | Selbst bescheinigte Schutzvorkehrungen | Prüfungs- oder Bestätigungsbericht über Kundenvermögen |
| Klare Offenlegung der Verwahrungsweise der Vermögenswerte | Kunden wissen nicht, dass Vermögen zusammengeführt oder unterverwahrt wird | Offenlegung zur Verwahrung: Omnibus- oder getrennte Wallets, Unterverwahrer, Behandlung im Insolvenzfall |
| Schutz vor Verlust, Diebstahl oder Unzugänglichkeit | Kompromittierung von Schlüsseln und betriebliche Verluste | Richtlinie zum Schlüsselmanagement, Anteil der Cold-Storage-Verwahrung, Versicherung |
Omnibus-Wallets sind in den meisten Regimen zulässig, sofern das interne Hauptbuch korrekt geführt und abgeglichen wird. Die technischen Aspekte der Verwahrung werden in den Lektionen Verwahrungsmodelle und die rechtliche Seite der Vermögensverwahrung und Gegenparteirisiko und Proof of Reserves behandelt.
Interessenkonflikte, Offenlegung und faire Behandlung
Krypto-Unternehmen vereinen häufig Funktionen, die im traditionellen Finanzwesen getrennt sind: Börse, Broker, Market Maker, Verwahrer, Kreditgeber und sogar Token-Emittent. Die Empfehlungen der IOSCO verlangen Governance-Regelungen, die diese Interessenkonflikte steuern, sowie – wenn sie sich nicht mindern lassen – eine rechtliche Trennung und separate Registrierung. Sie verlangen außerdem die Offenlegung jeder Rolle, die das Unternehmen übernimmt, eine faire Auftragsabwicklung mit Beschränkungen für Front-Running, öffentliche Standards für die Zulassung und Entfernung von Token sowie den Umgang mit Interessenkonflikten bei Token, die das Unternehmen selbst ausgegeben hat oder hält. Dies kann bedeuten, dass solche Token nicht gelistet werden.
Regeln für eine faire Behandlung konzentrieren sich auf Privatkunden: Angemessenheits- oder Eignungsprüfungen vor dem Angebot komplexer oder riskanter Produkte, faire und klare Werbung (auch über soziale Medien und bezahlte Influencer), Offenlegung sämtlicher Gebühren und Interessenkonflikte sowie in verständlicher Sprache formulierte Risikohinweise.
Ein Beschwerdemanagement vervollständigt das Bild: ein dokumentiertes Verfahren, Fristen für Eingangsbestätigungen und Antworten, Aufzeichnungen über jede Beschwerde, eine Analyse der Ursachen und – sofern vorhanden – Zugang zu einer externen Stelle zur Streitbeilegung.
Auslagerung und betriebliche Resilienz
Ein Unternehmen kann Aufgaben auslagern, nicht aber seine Verantwortung. Aufsichtsbehörden erwarten eine sorgfältige Prüfung von Dienstleistern, Verträge, die dem Unternehmen und der Aufsichtsbehörde Zugang und Prüfungsrechte gewähren, Ausstiegspläne und die Berücksichtigung von Konzentrationsrisiken, da viele Unternehmen dieselben Anbieter für Cloud-Dienste, Verwahrungstechnologie, Identitätsprüfung und Blockchain-Analysen nutzen. Die Empfehlung der IOSCO zu betrieblichen und technologischen Risiken verlangt Cyber- und Systemresilienz, mindestens eine jährliche Überprüfung sowie eine Offenlegung wesentlicher betrieblicher und technologischer Risiken in verständlicher Sprache. Regime sehen zunehmend Fristen für die Meldung von Vorfällen und Resilienztests vor. Die Sicherung und Wiederherstellung von Schlüsseln werden in der Lektion Prüfungssicherheit, Resilienz und Versicherung behandelt.
Grenzüberschreitende Dienstleistungen: Passporting und Reverse Solicitation
Passporting ermöglicht einem in einem Land zugelassenen Unternehmen, Kunden in anderen Ländern zu bedienen, die harmonisierte Regeln anwenden. Üblicherweise ist dafür nur eine Mitteilung und kein neuer Antrag erforderlich. Die EU ist das wichtigste Beispiel. Ohne Passporting benötigt ein Unternehmen eine lokale Lizenz, eine zugelassene lokale Tochtergesellschaft oder einen Partner oder eine Ausnahmegenehmigung.
Reverse Solicitation ist die eng begrenzte Ausnahme für Fälle, in denen ein Kunde ein ausländisches Unternehmen aus eigener ausschließlicher Initiative kontaktiert. Sie gilt nicht mehr, sobald das Unternehmen in diesem Land aktiv Kunden anspricht: etwa durch Websites in der Landessprache, gezielte Werbung, Sponsoring, Influencer-Kampagnen oder Angebote neuer Produkte an Kunden, die zunächst selbst Kontakt aufgenommen hatten. Sie umfasst nur die Dienstleistung, nach der der Kunde gefragt hat.
Immer mehr Länder lizenzieren ausländische Unternehmen, die ihre Einwohner bedienen. Dabei knüpfen sie die Verpflichtung typischerweise an Tätigkeiten wie gezielte Werbung oder die Nutzung inländischer Zahlungssysteme.
Unternehmen setzen ihre Entscheidungen zur Marktauswahl mit Kontrollen um: Überprüfung des Wohnsitzes bei der Aufnahme von Kunden, Geolokalisierung und IP-Sperren sowie Beendigung der Geschäftsbeziehung mit Kunden in Ländern, in denen das Unternehmen keine Dienstleistungen anbietet.
Prüfungsschwerpunkt: die drei globalen Bezugspunkte (FATF-Empfehlung 15 für die Lizenzierung zur Geldwäschebekämpfung, die IOSCO-Empfehlungen von 2023 zu Verhaltensregeln und Kundenvermögen sowie die FSB-Empfehlungen von 2023 zur Finanzstabilität) und die Ergebnisse der Umsetzungsprüfungen im Oktober 2025; Zulassungspflicht aufgrund einer gewerbsmäßig ausgeübten Tätigkeit und nicht aufgrund einer Bezeichnung; Eignungs- und Zuverlässigkeitsprüfungen sowie Governance-Anforderungen; Kapitalmodelle nach dem Prinzip „höherer Wert aus“ und Abwicklungspläne; die von der IOSCO erwarteten Kontrollen für Kundenvermögen (Trennung, Zustimmung zu jeder Verwendung, Abgleich, unabhängige Prüfung, Offenlegung); Interessenkonflikte aufgrund vertikaler Integration und die von der IOSCO vorgesehenen Abhilfemaßnahmen; faire Behandlung von Privatkunden und Beschwerdemanagement; Verantwortung für ausgelagerte Tätigkeiten und betriebliche Resilienz; Passporting, die Grenzen von Reverse Solicitation und die Lizenzierung ausländischer Unternehmen.