MiCA-Umsetzung 2026: Warum die Lizenz erst der Anfang ist

Am 1. Juli 2026 endete die Übergangsfrist der EU-Kryptoverordnung MiCA. Seither gilt in der Europäischen Union der Grundsatz: Nur wer eine Zulassung besitzt, darf am Markt bleiben. Wer Kryptowerte verwahrt, tauscht oder handelt, braucht eine Lizenz als Crypto-Asset Service Provider (CASP) oder muss sein Geschäft geordnet abwickeln. Deutschland steht in dieser neuen Ordnung an der Spitze: Mit 79 zugelassenen CASPs führt die Bundesrepublik das ESMA-Register deutlich vor Frankreich und den Niederlanden an. Bitcoin notiert an diesem 6. September bei rund 68.600 Euro (CoinGecko), die Kurse sind ruhig, die Schlagzeilen zur Lizenzvergabe verstummen. Das täuscht. Die eigentliche Arbeit beginnt jetzt erst.

Denn die Zulassung ist kein Ziel, sondern eine Eintrittskarte. Wer sie hat, tritt in ein Regime laufender Aufsicht ein, das mit MiCA allein nicht beschrieben ist. Betriebsstabilität nach DORA, die Geldwäsche-Spur der Travel Rule, die neue Anti-Geldwäsche-Behörde AMLA in Frankfurt und ein dichtes Meldewesen greifen ineinander. Und während die Anbieter ihre frisch erkauften Prozesse einspielen, hat die EU-Kommission die Überprüfung von MiCA gestartet, deren Konsultation am 30. September endet. Die Regeln, für die viele Firmen Millionen ausgegeben haben, stehen bereits wieder zur Debatte.

Vom Antrag zur Dauerpflicht: Wo die Umsetzung wirklich steht

MiCA (Verordnung (EU) 2023/1114) ist kein plötzliches Ereignis, sondern eine mehrstufige Einführung. Der Text trat am 29. Juni 2023 in Kraft, die Regeln für wertreferenzierte Token (ART) und E-Geld-Token (EMT) gelten seit dem 30. Juni 2024, die Pflichten für Dienstleister und das Marktmissbrauchsregime seit dem 30. Dezember 2024. Parallel bindet seit dem 17. Januar 2025 die Verordnung über die digitale operationale Resilienz, kurz DORA, dieselben Unternehmen. Die letzte Stufe war die Übergangsfrist nach Artikel 143, die EU-weit am 1. Juli 2026 auslief.

Deutschland ging dabei einen eigenen Weg. Das Finanzmarktdigitalisierungsgesetz und das darin enthaltene Kryptomärkteaufsichtsgesetz kürzten die nationale Frist auf zwölf Monate; für deutsche Altanbieter endete sie bereits am 31. Dezember 2025, ein halbes Jahr vor dem EU-Standard. Zuständig ist die BaFin, für Fragen der Finanzstabilität die Bundesbank. Das Ergebnis lässt sich zählen: Anfang September führt das ESMA-Register 331 zugelassene CASPs im gesamten EWR, dazu 43 E-Geld-Token und 167 als nicht konform markierte Anbieter (crypto.news).

Deutschland führt die Liste an, doch die Zahl täuscht

79 Lizenzen klingen nach einem Vorsprung, und in gewissem Sinne sind sie das. Doch die Zahl erklärt sich zu einem guten Teil aus der Struktur des deutschen Finanzsektors. Deutschland zählt hunderte Kreditinstitute, viele davon bereits reguliert. Für sie sieht MiCA in Artikel 60 ein vereinfachtes Notifizierungsverfahren vor: Wer schon eine Banklizenz oder eine Zulassung als Wertpapierfirma hat, muss den Krypto-Dienst nur anzeigen, nicht komplett neu beantragen. Deshalb ist die deutsche Liste bankenlastig. Zuletzt kamen allein sechs Genossenschaftsbanken hinzu, die Deutschland von 57 Zulassungen Ende Juni auf 79 brachten (Coinpaprika). Die BaFin selbst verweist darauf, dass die hohe Zahl auch die Größe des Sektors und die Menge der Kreditinstitute spiegelt.

Auf der deutschen Liste stehen überwiegend etablierte Namen des Finanzplatzes: Börse Stuttgart Digital, die Commerzbank, die DZ BANK, DekaBank, der Neobroker Trade Republic, die Smartphone-Bank N26 sowie Krypto-Spezialisten wie Bitpanda und Crypto Finance. Diese Mischung ist kein Zufall. MiCA belohnt Institute, die schon Compliance-Abteilungen, Wirtschaftsprüfer und Meldeprozesse haben; ein Start-up muss all das erst aufbauen. Der viel beschworene Zugang für kleine Anbieter existiert auf dem Papier, in der Praxis verschiebt sich das Gewicht zu den Großen.

Hinzu kommt der Pass. Eine in einem Mitgliedstaat erteilte Zulassung gilt im gesamten EWR; wer in Deutschland lizenziert ist, darf grenzüberschreitend anbieten, und umgekehrt bedienen zahlreiche im Ausland zugelassene Firmen deutsche Kunden per Notifizierung. Die 79 sind also nur ein Ausschnitt des Angebots, das deutschen Anlegern offensteht, und die reine Standortzahl sagt wenig über den tatsächlichen Wettbewerb aus.

Die Lizenz war der leichte Teil

Eine Zulassung zu bekommen, ist ein Projekt mit einem Enddatum. Sie zu behalten, ist ein Dauerzustand. MiCA verlangt von jedem CASP laufend Eigenmittel, die sich nach der Art der Dienstleistung richten, eine Trennung der Kundengelder und Kryptowerte vom Firmenvermögen nach Artikel 70, ein funktionierendes Beschwerdemanagement, Regeln gegen Interessenkonflikte, Vorgaben für Auslagerungen und ein regelmäßiges Meldewesen an die Aufsicht. Wer Kryptowerte öffentlich anbietet, haftet für sein Whitepaper und muss es aktuell halten; wer wirbt, unterliegt strengen Marketingregeln. Das alles endet nicht mit der Lizenzurkunde, es beginnt mit ihr.

Hinter den Stichworten steckt echter Aufwand. Die Eigenmittel binden Kapital, die Trennung der Kundenbestände verlangt eine sauber getestete Verwahrarchitektur, das Meldewesen liefert der Aufsicht regelmäßig Kennzahlen, und jede Auslagerung an einen Dienstleister muss vertraglich und technisch abgesichert sein. Hinzu kommen jährliche Prüfungen und, je nach Größe, die Einstufung als bedeutender Anbieter, die zusätzliche Pflichten auslöst. Das ist der Unterschied zwischen einem einmaligen Antrag und einem laufenden Betrieb unter Aufsicht.

Anders gesagt: Der Aufwand verschiebt sich von der Zulassung zur Aufsicht. Und diese Aufsicht ist nicht auf MiCA beschränkt. Auf einem einzigen deutschen Krypto-Anbieter stapeln sich mindestens vier weitere Regelwerke: DORA für die Betriebsstabilität, die Travel Rule für die Nachverfolgbarkeit von Transfers, das kommende Anti-Geldwäsche-Paket rund um die AMLA und, sobald Derivate ins Spiel kommen, die Finanzmarktrichtlinie MiFID II. Dieser Stapel ist die eigentliche Geschichte der MiCA-Umsetzung im Jahr 2026.

DORA: Betriebsstabilität wird zur Aufsichtsfront

Kein Regelwerk zeigt den Wandel deutlicher als DORA. Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 und verlangt von Finanzunternehmen, darunter ausdrücklich CASPs, ein dokumentiertes Management ihrer IKT-Risiken, klassifizierte und gemeldete Vorfälle, regelmäßige Resilienztests und einen belastbaren Überblick über ihre Technologie-Dienstleister. Schwere Störungen sind in drei Stufen zu melden: eine Erstmeldung, ein Zwischenbericht, ein Abschlussbericht. 2026 ist das Jahr, in dem die Aufsicht von der Anleitung zur Durchsetzung übergeht.

Für Kryptowerte trifft DORA einen besonders wunden Punkt. Eine Überweisung lässt sich zurückholen, eine bestätigte Blockchain-Transaktion nicht. Fällt ein System im falschen Moment aus oder gelangt ein Angreifer an die Signaturschlüssel, ist der Schaden oft endgültig. Deshalb verlangt die Aufsicht von Krypto-Anbietern nicht nur, dass sie Angriffe abwehren, sondern auch, dass sie den Betrieb nach einem Vorfall nachweislich wiederherstellen können, mit getesteten Verfahren statt mit guten Absichten.

BaFin-Präsident Mark Branson stellte DORA bei der Jahrespressekonferenz am 12. Mai 2026 in den Mittelpunkt. „Umso wichtiger ist es, dass die Unternehmen die Anforderungen von DORA erfüllen, der Verordnung über digitale operationale Resilienz im Finanzsektor“, sagte er (BaFin). Die Messlatte liegt hoch. „Schwachstellen müssen sie viel schneller schließen“, so Branson. „Früher konnten Patch-Management-Zyklen in Monaten gemessen werden. Künftig müssen sie binnen weniger Tage, wenn nicht gar Stunden abgeschlossen sein.“ Für eine Krypto-Börse, die rund um die Uhr handelt und deren Angriffsfläche eine einzige kompromittierte Signatur sein kann, ist das keine Formalie.

Wie real das Thema ist, zeigt die erste Auswertung: Der europäische Finanzsektor meldete in einem DORA-Bericht mehr als 3.300 schwerwiegende IKT-Vorfälle (Cryptonomist). Für CASPs sind die Anforderungen besonders greifbar, weil sie bis in die Verwahrarchitektur reichen: Kalte Lager, Schlüsselmanagement und nachweisbare Wiederherstellungszeiten müssen nicht nur behauptet, sondern belegt werden. Für größere Anbieter kommt eine besonders scharfe Klinge hinzu: bedrohungsgeleitete Penetrationstests, bei denen kontrollierte Angriffe die Abwehr auf die Probe stellen. Die Ergebnisse landen bei der Aufsicht, nicht in der Schublade.

Cloud-Konzentration und das Drittanbieter-Risiko

Der schwierigste Teil von DORA liegt oft außerhalb des Unternehmens. Kaum ein Krypto-Anbieter betreibt seine gesamte Infrastruktur selbst; die meisten laufen auf einer Handvoll großer Cloud-Anbieter. Fällt einer davon aus, fallen viele zugleich aus. DORA adressiert dieses Klumpenrisiko doppelt: Jedes Institut muss ein Informationsregister seiner IKT-Drittdienstleister führen, und die europäischen Aufsichtsbehörden können besonders kritische Anbieter, die sogenannten kritischen IKT-Drittdienstleister, direkt beaufsichtigen. Ein Rechenzentrumsausfall oder ein fehlerhaftes Software-Update ist damit kein rein technisches Problem mehr, sondern ein meldepflichtiges Aufsichtsereignis.

Das Risiko sitzt zunehmend in der Hardware und in der Vertrauenskette der Betreiber selbst, ein Thema, das weit über Krypto hinausreicht; wir haben es in unserer Analyse zu Confidential Computing und dem Hardware-Risiko ausgeführt. Für die Aufsicht bedeutet es einen Perspektivwechsel: Sie prüft nicht mehr nur, ob ein Anbieter solvent und ehrlich ist, sondern ob er einen schlechten Tag seiner Technik übersteht.

Travel Rule: die Geldwäsche-Spur, die MiCA voraussetzt

Parallel zu MiCA, aber technisch eigenständig, läuft die Travel Rule. Die Geldtransfer-Verordnung (EU) 2023/1113 gilt seit dem 30. Dezember 2024 und verlangt, dass bei Krypto-Transfers Angaben zu Auftraggeber und Begünstigtem mitgeführt werden, so wie bei einer klassischen Überweisung. Zwischen zwei CASPs gibt es dabei keine Bagatellgrenze: Jeder Transfer ist erfasst. Geht ein Transfer an eine oder von einer selbstverwahrten Wallet, greifen ab einem Gegenwert von 1.000 Euro zusätzliche Prüfpflichten zur Feststellung der Inhaberschaft.

In Deutschland ist die Umsetzung besonders sichtbar, weil viele Anleger selbstverwahrte Wallets nutzen. Ein Transfer von der eigenen Hardware-Wallet auf ein Börsenkonto ist kein anonymer Vorgang mehr: Oberhalb der Schwelle muss der Anbieter prüfen, ob die Wallet wirklich dem Kunden gehört. Das ist der Punkt, an dem viele Nutzer die neue Ordnung zum ersten Mal konkret spüren.

Das klingt einfach, ist es aber nicht. Die Regel funktioniert nur, wenn beide Seiten dieselben Datenformate sprechen. Solange nicht alle Anbieter weltweit mitmachen, entsteht das bekannte Sunrise-Problem, bei dem übermittelte Informationen ins Leere laufen. Für deutsche CASPs ist die Travel Rule dennoch kein Kann, sondern eine Pflicht, deren Verletzung die Aufsicht als Geldwäsche-Verstoß behandelt. Sie ist zugleich das Scharnier zum größten institutionellen Umbau dieser Jahre.

Die AMLA kommt nach Frankfurt

Die größte institutionelle Veränderung sitzt seit 2025 in Frankfurt am Main. Die neue EU-Behörde zur Bekämpfung der Geldwäsche, kurz AMLA, nahm dort am 1. Juli 2025 ihre Arbeit auf und übernahm zum 1. Januar 2026 die Geldwäsche-Mandate der Europäischen Bankenaufsicht (Sumsub). Sie ist die erste EU-Behörde mit eigenen direkten Aufsichtsbefugnissen im Geldwäscherecht, und ihr Sitz liegt in Deutschland.

Der Aufbau ist gestaffelt. Ab 2028 soll die AMLA rund 40 besonders risikoreiche Institute direkt beaufsichtigen; die Auswahl nach einer gemeinsamen Risikomethodik ist für 2027 vorgesehen. Das materielle Recht, die Anti-Geldwäsche-Verordnung (EU) 2024/1624, gilt EU-weit ab dem 10. Juli 2027. Erst dann gibt es ein wirklich einheitliches Regelbuch, das nationale Auslegungsspielräume schließt.

Das Modell ist ein Nabe-Speiche-System. Die AMLA koordiniert, setzt Standards und beaufsichtigt die riskantesten Institute selbst, während die nationalen Behörden und Geldwäsche-Meldestellen den Großteil der Fälle weiter vor Ort bearbeiten. Für Kryptowerte ist das ein Bruch mit der Vergangenheit, in der jedes Land eigene Auslegungen pflegte. Unter der AMLR gelten CASPs europaweit als verpflichtete Unternehmen mit denselben Sorgfaltspflichten, verstärkter Prüfung bei riskanten Transaktionen und einer harten Bargeldobergrenze von 10.000 Euro im Hintergrund.

Krypto steht dabei ausdrücklich im Blick. Die AMLA hat unter ihrer Vorsitzenden Bruna Szego Kryptowerte und „novel payment channels“, also neuartige Zahlungswege, als aufkommende Risiken für illegale Finanzströme benannt (AML Intelligence). Wo am Ende Maschinen und autonome Agenten selbst Zahlungen auslösen, verschiebt sich die Frage, wer eigentlich der Auftraggeber ist; wir haben dieses Muster am Beispiel von Lightning und KI-Agenten beschrieben. Für einen deutschen CASP heißt das: Sein Geldwäsche-Beauftragter antwortet ab 2027 nicht mehr nur der BaFin, sondern einem europäischen Rahmen mit Sitz in derselben Stadt.

MiFID II bleibt die andere Grenze

Ein Missverständnis hält sich hartnäckig: MiCA regele den gesamten Kryptomarkt. Das stimmt nicht. Derivate auf Kryptowerte, also Futures, Optionen und die beliebten Perpetuals, sind Finanzinstrumente und fallen unter die Finanzmarktrichtlinie MiFID II, nicht unter MiCA. Die ESMA stellte Anfang 2026 klar, dass Krypto-Perpetuals aufsichtsrechtlich wie CFDs behandelt werden; für Kleinanleger gilt damit die enge Hebelgrenze von 2:1. Wer als Anbieter beides macht, Spot und Derivate, trägt beide Regelwerke gleichzeitig, mit getrennten Zulassungen und unterschiedlichen Aufsichtslogiken.

Diese Trennung ist kein Detail. Ein erheblicher Teil des Handelsvolumens im Kryptomarkt entfällt auf Derivate, und genau dieser Teil wird nicht von MiCA, sondern vom älteren, strengeren Wertpapierrecht erfasst. Für Kleinanleger bedeutet das niedrige Hebel und klare Warnpflichten, für Anbieter eine zweite, aufwendige Zulassungswelt neben der MiCA-Lizenz.

Was MiCA (noch) nicht erfasst

Ebenso wichtig ist, was außerhalb bleibt. Wer seine Kryptowerte selbst verwahrt, in einer eigenen Wallet ohne Dienstleister, fällt nicht unter MiCA; die Verordnung reguliert Anbieter, nicht Nutzer. Echte, dezentrale DeFi-Protokolle ohne identifizierbaren Betreiber sind bislang nicht erfasst, ebenso wenig nicht verwahrtes Staking oder das Verleihen von Kryptowerten ohne Zwischeninstanz. NFTs sind ausgenommen, sofern sie wirklich einzigartig sind; werden sie in großen, fungiblen Serien ausgegeben, kann die Aufsicht sie dennoch als Kryptowerte einordnen.

Diese Grauzone ist kein Versehen, sondern eine bewusste Lücke aus der Entstehungszeit von MiCA. Ein Teil der Innovation, von Layer-2-Netzwerken bis zu selbstverwahrten Anwendungen, lebt genau dort; was die Marktbereinigung bei Bitcoin-Layer-2s überlebt hat, zeigt, wie schnell sich dieses Feld sortiert. Genau diese Lücken sind der Grund, warum Brüssel MiCA schon jetzt wieder auf den Prüfstand stellt.

Für Anleger hat diese Grenze zwei Seiten. Wer selbst verwahrt, behält die volle Kontrolle, verzichtet aber auf jeden Schutz durch MiCA; es gibt keine Aufsicht, die einschreitet, wenn etwas schiefgeht. Wer dagegen einen zugelassenen Anbieter nutzt, gibt Kontrolle ab und erhält dafür Regeln, Haftung und Beschwerdewege. Die Verordnung zwingt niemanden in die eine oder andere Richtung, aber sie macht die Wahl bewusster.

Aufsicht statt Zulassung: ESMA, BaFin und die Malta-Lehre

Mit dem Ende der Zulassungswelle rückt die laufende Aufsicht in den Vordergrund, und dort liegt die eigentliche Bewährungsprobe für MiCA. Ein einheitliches Regelbuch nützt wenig, wenn 27 nationale Behörden es unterschiedlich streng anwenden. Genau davor warnte die ESMA früh. Ihre Prüfung der maltesischen Zulassungspraxis vom 10. Juli 2025 kam zu dem Schluss, dass die dortige Aufsicht einige Risiken vor der Lizenzerteilung nicht ausreichend bewertet hatte (ESMA). Die Botschaft an alle Behörden lautete: Eine schnelle Lizenz ist kein Qualitätsmerkmal.

Für 2026 hat die ESMA die konsequente Umsetzung von MiCA und die Angleichung der Aufsichtspraxis zwischen den Mitgliedstaaten zu ihren Schwerpunkten erklärt (ESMA-Arbeitsprogramm). ESMA-Chefin Verena Ross, deren Mandat am 31. Oktober 2026 endet und für deren Nachfolge das Auswahlverfahren läuft, hat wiederholt betont, dass ein Regelwerk nur so gut ist wie seine konsequente Anwendung.

Für die BaFin bedeutet das konkrete Instrumente. Sie erhält regelmäßige Meldungen, kann Vor-Ort-Prüfungen anordnen, Geschäftsleiter abberufen, Bußgelder verhängen und im Ernstfall die Zulassung entziehen. Anders als in der Übergangsphase, in der vieles auf Zusagen und Konzepten beruhte, prüft sie nun den laufenden Betrieb: ob die Eigenmittel wirklich vorhanden sind, ob die Verwahrung hält, was das Whitepaper verspricht, und ob die gemeldeten Zahlen stimmen. Aufsicht wird damit von einer einmaligen Torkontrolle zu einer dauernden Begleitung.

Wie ernst es die Aufsicht meint, zeigte sich schon am Stichtag selbst. Anbieter ohne Zulassung mussten ihr EU-Geschäft einstellen; große internationale Börsen zogen sich aus dem regulären EU-Angebot zurück oder wickelten Dienste ab, und die ESMA stellte klar, dass Kunden nicht zugelassener Anbieter nicht unter dem Schutz von MiCA stehen. Laufende Aufsicht heißt eben nicht nur, Formulare zu prüfen, sondern auch, Marktzugang zu verweigern. Der Kontrast zu den USA ist aufschlussreich: Während dort die Krypto-Aufsicht nach dem Rückzug der SEC von der harten Linie neu sortiert wird und ein Vakuum hinterlässt, das andere füllen müssen (wir haben beschrieben, wer die Lücke jetzt füllt), setzt Europa auf ein dichtes, überlappendes Netz aus Behörden. Das ist teurer und langsamer, aber es lässt weniger offene Flanken.

Die Überprüfung, die alles wieder aufmachen kann

Kaum haben die Anbieter ihre Prozesse eingespielt, öffnet Brüssel die Regeln erneut. Am 20. Mai 2026 startete die EU-Kommission eine gezielte Konsultation zur Überprüfung von MiCA, deren Frist bis zum 30. September 2026 läuft, ursprünglich der 31. August, dann verlängert (Norton Rose Fulbright). Der Fragebogen umfasst 86 Fragen in vier Blöcken: Anwendungsbereich und Definitionen, Stablecoins, Dienstleister sowie das, was bisher außerhalb liegt. Ein Bericht an Parlament und Rat ist bis zum 30. Juni 2027 fällig; daraus kann ein Gesetzesvorschlag werden, den viele bereits „MiCA 2.0“ nennen (EU-Kommission).

Wer sich an der Konsultation beteiligt, verrät viel über die Interessenlage. Banken und große Plattformen drängen auf Erleichterungen beim Meldewesen und auf klarere Regeln für Verwahrung und Staking; Verbraucherschützer warnen vor einer Aufweichung des Anlegerschutzes, kaum dass er greift. Die Kommission sitzt dazwischen und muss zwei Ziele versöhnen, die sich reiben: einen wettbewerbsfähigen Standort Europa und ein Schutzniveau, das das Vertrauen erst geschaffen hat. Wie sie das gewichtet, entscheidet über den Charakter von „MiCA 2.0“.

Zwei Fragen ragen heraus. Erstens die Wettbewerbsfähigkeit: Europa beobachtet, wie die USA mit dem GENIUS Act eigene Stablecoin-Regeln setzen und Großbritannien einen eigenen Weg geht; die Kommission prüft, ob MiCA zu streng ist, um im globalen Wettbewerb zu bestehen, und ob Anbieter aus Drittstaaten unter bestimmten Bedingungen anerkannt werden sollten. Zweitens DeFi: Wo endet ein reguliertes Angebot und wo beginnt ein wirklich dezentrales Protokoll? An Kriterien wie Kontrolle, Governance, Admin-Schlüsseln und dem Betrieb einer Benutzeroberfläche entscheidet sich, ob und wie die nächste Ausbaustufe von MiCA die dezentrale Welt berührt.

Besonders heikel ist das Zinsverbot für Stablecoins: MiCA untersagt Emittenten, Inhabern eine Verzinsung zu zahlen, während die Debatte in den USA anders verläuft; wer bei den neuen Regeln die stille Rendite kassiert, haben wir gesondert analysiert. Bemerkenswert ist der Ton: Die Kommission rahmt die Überprüfung ausdrücklich als Vereinfachungs- und Wettbewerbsagenda, Lasten sollen „vereinfacht, reduziert oder gestrichen“ werden. Das ist für die Branche zweischneidig. Wer gerade Millionen in die Erfüllung eines Regelwerks gesteckt hat, hört nicht gern, dass genau dieses Regelwerk wieder aufgeschnürt wird. Zugleich hoffen viele Anbieter, dass die härtesten Kanten entschärft werden, etwa die Deckelung nicht-euro-basierter Stablecoins, die den Zahlungsverkehr in der Praxis bremst.

Der digitale Euro als Fluchtpunkt

Über all dem schwebt ein Projekt, das kein CASP betreibt und das doch alles verändern könnte: der digitale Euro. Das EU-Parlament brachte den Rahmen am 23. Juni 2026 mit 43 zu 14 Stimmen bei einer Enthaltung durch den ECON-Ausschuss voran; seither läuft der Trilog, und die Gesetzgebung soll bis Ende 2026 stehen (Digital Watch). EZB-Direktoriumsmitglied Piero Cipollone nennt 2029 als möglichen Start, sofern die Institutionen 2026 liefern; ein Pilot mit 36 Zahlungsdienstleistern ist ab September 2027 geplant.

Für die private Krypto-Welt ist der digitale Euro kein direkter Konkurrent im Handel, aber im Zahlungsverkehr. Er ist das Gegengewicht, mit dem die EZB die Sorge vor einer „digitalen Dollarisierung“ durch überwiegend dollarbasierte Stablecoins beantwortet. Auch das gehört zur ehrlichen Bilanz der Umsetzung: Der wichtigste regulatorische Hebel Europas im Krypto-Zahlungsverkehr ist am Ende vielleicht gar kein Krypto-Gesetz, sondern eine öffentliche Alternative zum privaten Geld. Wie die Stablecoin-Regeln von MiCA und ein staatliches digitales Zentralbankgeld zusammenwirken, gehört zu den offenen Fragen, die die Überprüfung mitentscheiden wird.

Was das für Anbieter und Anleger heißt

Zwei Monate nach dem Stichtag lässt sich ein nüchternes Zwischenfazit ziehen. Für Anbieter ist die Lizenz erreicht, aber der teure Teil beginnt erst: laufende Eigenmittel, DORA-Tests, Vorfallmeldungen, Travel-Rule-Prozesse und ab 2027 ein neues Geldwäscheregime. Dieser Fixkostenblock der Regulierung ist der eigentliche Treiber hinter der Konsolidierung, die den Markt gerade prägt; kleine Anbieter tun sich schwer, den ganzen Stapel allein zu tragen.

BaFin-Präsident Branson formulierte den Zweck des Ganzen unverblümt: „Unerlaubt tätigen Anbietern geht es ja normalerweise nicht darum, Bürokratie zu vermeiden. In der Regel wollen sie betrügen oder kriminelle Geschäfte tätigen“ (BaFin). Aus dieser Sicht ist der Regel-Stapel kein Selbstzweck, sondern der Preis dafür, seriöse Anbieter von unseriösen zu trennen.

Für Anleger ist die Bilanz überwiegend positiv. Wer bei einem zugelassenen CASP ist, genießt getrennte Verwahrung, klare Beschwerdewege und eine Aufsicht, die Betriebsstabilität einfordert. Wichtig bleibt die Grenze: Eine MiCA-Lizenz ist keine Einlagensicherung, und selbstverwahrte Bestände sowie reine DeFi-Nutzung stehen außerhalb des Schutzschirms. Vier Termine bestimmen die nächsten Monate:

• Der 30. September 2026, an dem die MiCA-Konsultation endet und die Richtung von „MiCA 2.0“ sichtbarer wird.
• Der 30. Juni 2027, bis zu dem der Bericht der Kommission vorliegen muss.
• Der 10. Juli 2027, ab dem die AMLR und damit ein einheitliches Geldwäscherecht gelten.
• Das Jahr 2028, in dem die AMLA in Frankfurt ihre direkte Aufsicht aufnimmt.

MiCA hat Europa das erste umfassende Krypto-Regelwerk der Welt gegeben. Doch ein Regelwerk entfaltet seine Wirkung nicht am Tag der Lizenzvergabe, sondern in der Aufsicht der Jahre danach. Diese Aufsicht hat gerade erst begonnen.

Häufig gestellte Fragen

Wann endete die MiCA-Übergangsfrist in Deutschland?

EU-weit endete die Übergangsfrist am 1. Juli 2026. Deutschland kürzte sie über das Kryptomärkteaufsichtsgesetz auf zwölf Monate; für deutsche Altanbieter lief sie bereits am 31. Dezember 2025 aus. Seither dürfen nur von der BaFin zugelassene oder per EU-Pass notifizierte CASPs Kunden in Deutschland bedienen.

Wie viele CASP-Lizenzen hat Deutschland unter MiCA?

Anfang September 2026 führte das ESMA-Register 79 in Deutschland zugelassene CASPs, mehr als jedes andere Land im EWR, gefolgt von Frankreich mit 35 und den Niederlanden mit 29. Die hohe Zahl erklärt sich zum Teil aus dem vereinfachten Notifizierungsverfahren für bereits regulierte Banken.

Was ist DORA und gilt es für Krypto-Anbieter?

DORA ist die EU-Verordnung über digitale operationale Resilienz (VO 2022/2554), die seit dem 17. Januar 2025 gilt. Sie bindet ausdrücklich auch CASPs und verlangt IKT-Risikomanagement, die Meldung schwerer Vorfälle in mehreren Stufen, Resilienztests und ein Register der Technologie-Dienstleister. 2026 geht die Aufsicht von der Anleitung zur Durchsetzung über.

Was macht die AMLA und warum sitzt sie in Frankfurt?

Die AMLA ist die neue EU-Behörde zur Bekämpfung der Geldwäsche. Sie nahm am 1. Juli 2025 in Frankfurt am Main ihre Arbeit auf und soll ab 2028 rund 40 risikoreiche Institute direkt beaufsichtigen. Das zugehörige einheitliche Regelbuch, die AMLR (VO 2024/1624), gilt EU-weit ab dem 10. Juli 2027; Kryptowerte stehen ausdrücklich im Fokus der Behörde.

Wird MiCA schon wieder geändert?

Die EU-Kommission überprüft MiCA bereits. Eine gezielte Konsultation mit 86 Fragen läuft bis zum 30. September 2026, ein Bericht an Parlament und Rat ist bis zum 30. Juni 2027 fällig. Daraus kann ein als „MiCA 2.0“ diskutierter Gesetzesvorschlag entstehen, der Stablecoin-Regeln, DeFi, Staking und die Einordnung von Derivaten betrifft.

Von Anneke de Vries, Regulierungsredaktion, HOGE Wire. Kurse und Registerstände Stand 6. September 2026. Dieser Beitrag ist journalistische Information, keine Rechts- oder Anlageberatung.