MiCA-Compliance

Die MiCA teilt Kryptowerte in drei Gruppen und knüpft an jede Gruppe eigene Pflichten. Emittenten von Asset-referenced Token brauchen eine Zulassung nach Artikel 16, Emittenten von E-Geld-Token müssen nach Artikel 48 Kreditinstitut oder E-Geld-Institut sein, und wer einen anderen Kryptowert anbietet, übermittelt und veröffentlicht ein MiCA-Whitepaper.

Die größte Gruppe unter der MiCA sind die Kryptowerte-Dienstleister. Eine Kryptobörse, ein Broker oder ein Verwahrer braucht eine CASP-Lizenz nach Artikel 59, Banken, Wertpapierfirmen und andere Finanzunternehmen können stattdessen ihre Aufsicht nach Artikel 60 informieren. Die ESMA führt ein vorläufiges Register beider Gruppen, und Deutschland hat die meisten Einträge, darunter über 100 Anzeigen von Banken und anderen Finanzunternehmen bei der BaFin.

Mit der Zulassung beginnt die laufende Aufsicht, und die Artikel 66 bis 74 der MiCA legen die Pflichten fest, die ab dann für jeden CASP gelten. Ein CASP handelt ehrlich, redlich und professionell im besten Interesse seiner Kunden, hält Sicherheitsvorkehrungen nach Artikel 67, hat eine zuverlässige Geschäftsleitung, trennt Kryptowerte und Gelder der Kunden, regelt Beschwerden und Interessenkonflikte schriftlich, kontrolliert Auslagerungen und hält einen Plan für die geordnete Abwicklung bereit. Jede Dienstleistung bringt eigene Regeln mit, etwa eine Verwahrpolitik und ein Register der Kundenpositionen bei der Verwahrung nach Artikel 75 oder Betriebsregeln und Marktüberwachung bei einer Handelsplattform nach Artikel 76.

Viele dieser Pflichten hat die Kommission mit delegierten Verordnungen konkretisiert, die die ESMA in ihrer Übersicht der Level-2- und Level-3-Maßnahmen aufführt. Die Delegierte Verordnung (EU) 2025/299 regelt Kontinuität und Regelmäßigkeit der Dienste, 2025/294 das Beschwerdeverfahren, 2025/1142 die Interessenkonflikte und 2025/1140 die Aufzeichnungen zu Diensten, Aufträgen und Geschäften.

Mehrere Pflichten, die Kryptofirmen unter MiCA-Compliance führen, stammen aus anderen EU-Gesetzen. Die Travel Rule der Geldtransferverordnung (EU) 2023/1113 verlangt von CASPs, bei jedem Kryptotransfer Daten zu Auftraggeber und Begünstigtem ohne Mindestbetrag zu senden und zu prüfen, und sie gilt seit demselben Tag wie die MiCA. Die Geldwäschepflichten kommen heute aus nationalem Recht und ab Juli 2027 aus der EU-Geldwäscheverordnung, und die Regeln zur Geldwäscheprävention bei Kryptowerten zeigen, was das für die Transaktionsüberwachung heißt.

CASPs sind außerdem Finanzunternehmen im Sinne des Digital Operational Resilience Act, der seit dem 17. Januar 2025 gilt. DORA verlangt ein IKT-Risikomanagement, Meldungen von Vorfällen an die Aufsicht, Resilienztests und ein Register der IKT-Drittdienstleister. Die Regeln zum Marktmissbrauch stehen in Titel VI der MiCA selbst: Wer beruflich Geschäfte mit Kryptowerten vermittelt oder ausführt, muss verdächtige Aufträge erkennen und melden, den Kern der Regeln zum Marktmissbrauch bei Kryptowerten.

Compliance unter der MiCAR war eines der Themen beim Krypto-Abend von Bybit EU, einem Abend mit Vorträgen im TechQuartier Frankfurt und Finance Loop als Partner. Mykolas Majauskas, Senior Director of Policy bei Bybit EU, sprach dort über Marktpositionierung und Compliance unter der Verordnung. Für Teams, die eine strukturierte Schulung suchen, lehren die EBS Executive School und die Kanzlei HEUKING ein deutschsprachiges MiCAR-Zertifikatsprogramm.

MiCA-Compliance bedeutet, dass eine Kryptofirma die Zulassung oder Anzeige besitzt, die ihre Tätigkeit in der EU verlangt, und an jedem Geschäftstag die Regeln der Verordnung (EU) 2023/1114 zu Verhalten, Kapital, Governance und Offenlegung erfüllt. Nach Artikel 111 kann die nationale Aufsicht ein Unternehmen bei Verstößen gegen die CASP-Regeln mit mindestens bis zu 5 Millionen Euro oder 5 Prozent des Jahresumsatzes belegen, bei Marktmanipulation mit bis zu 15 Millionen Euro oder 15 Prozent. Die ESMA forderte die Aufseher zudem auf, gegen Anbieter vorzugehen, die nach der MiCA-Übergangsfrist ohne Lizenz weiter Kunden in der EU bedienten.

Eine Bank, die Kryptodienste nach Artikel 60 anbietet, informiert ihre Aufsicht mindestens 40 Arbeitstage vor dem Start und braucht keine eigene CASP-Lizenz. Von den Sicherheitsvorkehrungen nach Artikel 67 ist sie befreit, weil ihre Eigenkapitalregeln als Bank sie abdecken, doch die Verhaltens-, Verwahr-, Beschwerde- und Marktmissbrauchsregeln der MiCA gelten für ihr Kryptogeschäft wie für einen zugelassenen CASP.

Am schnellsten hilft das vorläufige ESMA-Register der Kryptowerte-Dienstleister, das jede zugelassene oder angezeigte Firma mit Heimataufsicht, Datum, Diensten und Passport-Ländern nennt. Das Register hinkt manchmal hinterher, deshalb ist die Liste der nationalen Aufsicht, etwa der BaFin in Deutschland oder der AMF in Frankreich, die zweite Quelle. Kunden sollten außerdem prüfen, ob ihr Vertrag mit der zugelassenen EU-Gesellschaft besteht, weil eine Gruppe unter einer Marke eine EU-Firma und eine Firma außerhalb der EU betreiben kann.

Ein CASP, der seine MiCA-Compliance prüft, beginnt mit den Punkten, die die Aufsicht bei der Zulassung geprüft hat: erbrachte gegen zugelassene Dienste, Eigenmittel nach Artikel 67 und Anhang IV, die Unterlagen zur Eignung der Geschäftsleitung, die Trennung von Kundenvermögen, die Verwahrpolitik, Beschwerde- und Konfliktverfahren, Auslagerungsverträge und der Abwicklungsplan. Weiter geht es mit der Marktmissbrauchsüberwachung nach Artikel 92, den Datenflüssen der Travel Rule, dem DORA-Register der IKT-Dienstleister und den ESMA-Leitlinien für die eigenen Dienste, etwa zur Geeignetheit bei Beratung und Portfolioverwaltung.

Die MiCA schafft keine Berufsbezeichnung für einen Compliance Officer, aber Artikel 68 verlangt von jedem CASP Strategien und Verfahren, die wirksam genug sind, um die Einhaltung der Verordnung sicherzustellen. Mitarbeiter, die zu Kryptowerten informieren oder beraten, müssen nach ESMA-Leitlinien ab dem 28. Juli 2026 Kenntnisse und Kompetenz nachweisen, bei reiner Information mit einer Qualifikation von mindestens 80 Stunden und sechs Monaten Erfahrung. Das MiCAR-Zertifikatsprogramm der EBS Executive School ist ein Weg, dieses Wissen für Compliance-Teams zu belegen.