{"id":721,"date":"2026-10-07T04:30:21","date_gmt":"2026-10-07T04:30:21","guid":{"rendered":"https:\/\/hoge.gg\/de\/defi-compliance-2026-eu-reguliert-den-zugang\/"},"modified":"2026-10-07T04:30:21","modified_gmt":"2026-10-07T04:30:21","slug":"defi-compliance-2026-eu-reguliert-den-zugang","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/defi-compliance-2026-eu-reguliert-den-zugang\/","title":{"rendered":"DeFi-Compliance 2026: Die EU reguliert die T\u00fcr, nicht den Code"},"content":{"rendered":"

Am 30. September 2026 lief kurz vor Mitternacht eine Frist ab, die \u00fcber die Zukunft der dezentralen Finanz in Europa mehr aussagt als jeder Tageschart. Die Europ\u00e4ische Kommission schloss ihre gezielte Konsultation zur \u00dcberpr\u00fcfung der MiCA-Verordnung, und damit endete die Phase, in der Br\u00fcssel bei DeFi vor allem zugeschaut hat. Bitcoin notiert an diesem 7. Oktober bei rund 75.000 Euro<\/a>, und das in DeFi-Protokollen gebundene Kapital liegt laut DefiLlama<\/a> wieder bei \u00fcber 90 Milliarden Dollar, nachdem es im Jahresverlauf 2026 zeitweise um fast 40 Prozent eingebrochen<\/a> war. Die eigentliche Nachricht steht aber nicht im Kursticker, sondern in den Stellungnahmen, die ESMA und EBA in den letzten Septembertagen nach Br\u00fcssel geschickt haben.<\/p>

Aus diesen Dokumenten l\u00e4sst sich eine Strategie herauslesen, die lange gefehlt hat. Europa hat aufgeh\u00f6rt zu fragen, wie man ein Protokoll reguliert, das niemandem geh\u00f6rt. Stattdessen reguliert es die T\u00fcr: den Punkt, an dem ein Mensch, eine Firma oder eine Wallet-App den Zugang zum Protokoll herstellt. Wer diese T\u00fcr betreibt, soll k\u00fcnftig eine Erlaubnis brauchen, Risiken offenlegen und im Verdachtsfall gesperrt werden k\u00f6nnen. Der Code bleibt unangetastet, der Zugang wird zur Kontrollstelle. Dieser Text erkl\u00e4rt, wie der Ansatz funktioniert, wo er greift und wo er an seine Grenzen st\u00f6\u00dft.<\/p>

Das Grundproblem: MiCA trifft den Dienstleister, nicht den Code<\/h2>

MiCA, die Markets-in-Crypto-Assets-Verordnung, ist seit dem 1. Juli 2026 in Deutschland vollst\u00e4ndig scharf geschaltet. Sie reguliert aber nicht Krypto an sich, sondern Dienstleister. Die BaFin fasst es in ihrem Merkblatt zu Kryptowerte-Dienstleistungen<\/a> n\u00fcchtern zusammen: Erlaubnispflichtig ist, wer eine der im Gesetz gelisteten Dienstleistungen erbringt, von der Verwahrung \u00fcber den Betrieb einer Handelsplattform bis zur Ausf\u00fchrung von Auftr\u00e4gen. Adressat ist immer ein Anbieter, ein sogenannter CASP, nie ein Smart Contract.<\/p>

Damit entsteht die L\u00fccke, um die sich die ganze DeFi-Debatte dreht. Erw\u00e4gungsgrund 22<\/a> der Verordnung nimmt Dienste ausdr\u00fccklich aus, die vollst\u00e4ndig dezentral und ohne jeden Vermittler erbracht werden. Wo niemand die Kontrolle hat, gibt es auch niemanden, den man zulassen, beaufsichtigen oder bestrafen k\u00f6nnte. Das klingt nach einem gro\u00dfen Schlupfloch, ist in der Praxis aber ein schmales. Fast jedes Protokoll hat ein Front-end, einen Admin-Schl\u00fcssel, eine konzentrierte Governance, eine Geb\u00fchrenweiche oder ein Team, das Updates einspielt. Genau an diesen Stellen sitzt eine identifizierbare Partei, und genau dort setzt die neue Strategie an.<\/p>

Die Wende: der Zugang wird zur Kontrollstelle<\/h2>

Was ESMA und EBA in ihren Stellungnahmen vorschlagen, folgt einem einzigen Gedanken. Wenn man den Code nicht fassen kann, fasst man den, der den Code zug\u00e4nglich macht. Die europ\u00e4ische Wertpapieraufsicht ESMA hat am 30. September ihre Antwort auf die Konsultation ver\u00f6ffentlicht (Dokument ESMA75-113276571-1721<\/a>) und darin eine neue, erlaubnispflichtige Krypto-Dienstleistung f\u00fcr Firmen vorgeschlagen, die Nutzern Zugang zu DeFi-Protokollen verschaffen. Gemeint sind die Schnittstellen zwischen zentralisierter und erlaubnisfreier Finanz: Web-Oberfl\u00e4chen, Wallet-Apps und Aggregatoren, die Orders an ein Protokoll weiterreichen. Fachbeobachter lesen den Vorschlag als bislang detailliertesten Versuch<\/a> einer EU-Beh\u00f6rde, die Zugangsschicht zu DeFi unter das Erlaubnisregime zu ziehen.<\/p>

Die Bankenaufsicht EBA zieht am selben Strang. In ihren am 24. September ver\u00f6ffentlichten Priorit\u00e4ten f\u00fcr die MiCA-\u00dcberpr\u00fcfung<\/a> fordert sie die Kommission auf, die Vergabe und Aufnahme von Krypto-Krediten zu regulieren, und zwar ausdr\u00fccklich auch dann, wenn ein Dienstleister lediglich den Zugang zu dezentralen Lending-Protokollen vermittelt. Das Protokoll selbst bleibt au\u00dfen vor, der vermittelnde Anbieter nicht.<\/p>

Der gemeinsame Nenner ist der Zugangspunkt. Statt einer unm\u00f6glichen Aufsicht \u00fcber autonome Software entsteht ein Kranz von Kontrollstellen rund um das Protokoll, an denen Identit\u00e4t, Haftung und Eingriff m\u00f6glich bleiben. F\u00fcnf dieser Tore zeichnen sich inzwischen klar ab.<\/p>

Tor zum Protokoll<\/th>Was es ist<\/th>Welche Regel greift<\/th>Wer haftet<\/th><\/tr><\/thead>
Front-end \/ Oberfl\u00e4che<\/td>gehostete Website oder App, die Orders an das Protokoll weiterreicht<\/td>Handelsplattform-Betrieb, Auftragsausf\u00fchrung, Geldw\u00e4scherecht<\/td>Betreiber der Oberfl\u00e4che<\/td><\/tr>
Fiat-Rampe (CASP)<\/td>Umtausch Krypto gegen Euro, Ein- und Auszahlung<\/td>MiCA-Zulassung, TFR, AMLR<\/td>zugelassener CASP<\/td><\/tr>
Settlement-Stablecoin<\/td>der Euro- oder Dollar-Token, mit dem abgerechnet wird<\/td>MiCA-Regeln f\u00fcr E-Geld-Token, Freeze-Pflicht des Emittenten<\/td>Emittent<\/td><\/tr>
Zugangs- \/ Aggregator-Dienst<\/td>Software, die Nutzer ins Protokoll leitet<\/td>von ESMA vorgeschlagene neue Dienstleistung<\/td>Zugangsanbieter<\/td><\/tr>
Vermittelter Kredit \/ Staking<\/td>CASP, der Lending, Borrowing oder Staking zug\u00e4nglich macht<\/td>von EBA und ESMA geforderte Regeln<\/td>vermittelnder Dienstleister<\/td><\/tr><\/tbody><\/table><\/figure>

Das Front-end ist der eigentliche Flaschenhals<\/h2>

Die These, dass der Zugang die Kontrollstelle ist, hat einen prominenten Vorl\u00e4ufer. Als das US-Finanzministerium im August 2022 den Mixer Tornado Cash auf die Sanktionsliste setzte, zeigte sich sofort der Unterschied zwischen Code und Zugang. Die Smart Contracts liefen unver\u00e4ndert weiter, ein Berufungsgericht entschied sp\u00e4ter, dass unver\u00e4nderliche Vertr\u00e4ge kein Eigentum<\/a> im Sinne des Sanktionsrechts seien, woraufhin das Ministerium die Protokoll-Adressen im M\u00e4rz 2025 wieder von der Liste nahm. Die Oberfl\u00e4chen aber, \u00fcber die normale Nutzer den Mixer erreichten, verschwanden binnen Tagen.<\/p>

Dasselbe Muster pr\u00e4gt den legalen DeFi-Alltag. Die gro\u00dfen Front-ends gleichen Wallet-Adressen gegen Sanktions- und Risikolisten ab. Uniswap Labs etwa sperrte Hunderte markierter Adressen<\/a> \u00fcber einen Abgleich mit dem Analysedienst TRM Labs, w\u00e4hrend das Protokoll selbst jede Adresse weiter bedient. Der Smart Contract ist zensurresistent, die gehostete Website ist es nicht, denn sie ist eine juristische Person mit Sitz, Server und Betreiber. Genau hier l\u00e4sst sich Geoblocking einbauen, hier greift die Identit\u00e4tspr\u00fcfung, und hier kann eine Aufsicht ansetzen. ESMA zielt mit ihrem Zugangsdienst auf eben diese Schicht.<\/p>

ESMAs Zugangsdienst und die Frage, wer wirklich dezentral ist<\/h2>

Der Vorschlag der ESMA w\u00fcrde die Betreiber solcher Schnittstellen in eine eigene Regulierungskategorie heben. Wer eine Oberfl\u00e4che, eine Wallet-App oder einen Aggregator betreibt, der Nutzer in ein Protokoll leitet, soll als Zugangsanbieter gelten und damit in den Anwendungsbereich von MiCA fallen<\/a>. Flankiert wird das von klareren Kriterien daf\u00fcr, wann ein Dienst wirklich dezentral ist. ESMA will verhindern, dass Anbieter eine DeFi-Fassade errichten, um der Aufsicht zu entgehen, w\u00e4hrend sie im Hintergrund die F\u00e4den ziehen.<\/p>

Diese Kriterien sind der heikelste Teil. Dezentralisierung ist selten schwarz oder wei\u00df. Zwischen einem Protokoll, das ein Team per Multisig steuert, und einem, das wirklich niemand mehr abschalten kann, liegt ein breites Graufeld aus Admin-Schl\u00fcsseln, Governance-Token, Geb\u00fchrenschaltern und upgradebaren Vertr\u00e4gen. Je genauer die EU diese Schwelle definiert, desto klarer wird, wer durch das Zugangstor haftbar wird und wer nicht.<\/p>

Nicht alle halten diesen Weg f\u00fcr klug. Peter Kerstens, langj\u00e4hriger Krypto-Berater der EU-Kommission und einer der Architekten von MiCA, hat auf dem WAIB-Gipfel in Monaco grunds\u00e4tzliche Zweifel angemeldet. Recht lasse sich auf Menschen und Organisationen anwenden, nicht aber unmittelbar auf ein Computernetzwerk, und f\u00fcr die Regulierung von Nicht-Entit\u00e4ten fehle schlicht die juristische Lehre. Sein Fazit fiel deutlich aus<\/a>: „I don’t see what the problem is. And if there is no problem, why should it be regulated?“ Kerstens pl\u00e4diert daf\u00fcr, zuerst die Tokenisierung realer Verm\u00f6genswerte voranzutreiben, statt eine eigene DeFi-Regulierung oder ein MiCA 2 zu bauen. Die Zugangsstrategie ist die Antwort der Aufseher auf genau diesen Einwand: Man reguliert nicht das Netzwerk, sondern die Personen an der T\u00fcr.<\/p>

Staking, Lending und Borrowing: Compliance \u00fcber die Vermittler<\/h2>

Neben dem reinen Zugang nehmen die Aufseher die ertragbringenden DeFi-Aktivit\u00e4ten ins Visier, also Staking sowie das Verleihen und Leihen von Kryptowerten. ESMA fordert daf\u00fcr verh\u00e4ltnism\u00e4\u00dfige Regeln<\/a>, vor allem Offenlegungspflichten. Nutzer sollen vor einer Entscheidung klare Angaben zu Kosten, Risiken, Ertr\u00e4gen, Besicherung und m\u00f6glichen Verlusten erhalten. Die Idee ist nicht, das Lending-Protokoll zu lizenzieren, sondern den Dienstleister zur Transparenz zu zwingen, der den Zugang dazu anbietet.<\/p>

Die EBA wird konkreter und benennt den Hebel. Sie bittet die Kommission, die Vergabe und Aufnahme von Krypto-Krediten zu regulieren, einschlie\u00dflich der F\u00e4lle, in denen ein Dienstleister den Zugang zu dezentralen Lending-Protokollen vermittelt, weil daraus Risiken f\u00fcr Verbraucher erwachsen. Dasselbe Prinzip tr\u00e4gt beim Staking. Wer Coins f\u00fcr einen Kunden verwahrt und sie \u00fcber einen Dienst an der Validierung teilnehmen l\u00e4sst, erbringt eine zurechenbare Leistung, anders als die technische Infrastruktur der Validatoren<\/a> selbst, die sich keinem einzelnen Anbieter zuordnen l\u00e4sst. Die Grenze verl\u00e4uft wieder zwischen dem Protokoll und dem, der den Zugang dazu \u00f6ffnet.<\/p>

Die EBA setzt zugleich zwei weitere Priorit\u00e4ten. Von Stablecoin-Systemen mehrerer Emittenten \u00fcber Drittl\u00e4nder hinweg gehen aus ihrer Sicht erhebliche bis sehr erhebliche Risiken<\/a> aus, hier verlangt sie einen strengeren Rahmen. Und die Einordnung von Kryptowerten unter MiCA sei f\u00fcr Industrie wie Aufsicht eine Dauerbaustelle, die vermeidbare Kosten und Verz\u00f6gerungen erzeuge. Beide Punkte zahlen auf dieselbe Logik ein: Klarheit dar\u00fcber, wer wof\u00fcr zust\u00e4ndig ist, bevor der Zugang \u00fcberhaupt ge\u00f6ffnet wird.<\/p>

Die Fiat-Rampe und die Geldw\u00e4sche-T\u00fcr<\/h2>

Die \u00e4lteste und h\u00e4rteste T\u00fcr ist die Fiat-Rampe, also der Punkt, an dem Krypto zu Euro wird und umgekehrt. Hier greift das Geldw\u00e4scherecht unabh\u00e4ngig davon, wie dezentral das nachgelagerte Protokoll ist. Die EU-Geldtransferverordnung (VO 2023\/1113<\/a>) schreibt seit dem 30. Dezember 2024 die sogenannte Travel Rule f\u00fcr Kryptotransfers vor, und zwar ohne Bagatellgrenze. Jeder Transfer muss Angaben zu Auftraggeber und Beg\u00fcnstigtem mitf\u00fchren, und bei Zahlungen an oder von selbstverwalteten Wallets \u00fcber 1.000 Euro sind zus\u00e4tzliche Pr\u00fcfungen f\u00e4llig. Wer DeFi-Ertr\u00e4ge am Ende in Euro auf ein Bankkonto bringen will, passiert damit eine regulierte Schleuse.<\/p>

Ab dem 10. Juli 2027 kommt die EU-Geldw\u00e4scheverordnung (VO 2024\/1624<\/a>) hinzu. Sie verbietet anonyme Krypto-Konten ebenso wie M\u00fcnzen mit eingebauter Anonymisierung, also etwa Monero oder Zcash, bei verpflichteten Unternehmen. Das trifft nicht das Protokoll, sondern erneut den Dienstleister, der den Zugang bereitstellt. Ein deutscher CASP, der solche Werte listet oder anonyme Zug\u00e4nge duldet, verliert seine Erlaubnis. Die T\u00fcr l\u00e4sst sich nicht offen stehen lassen.<\/p>

Die Aufsicht \u00fcber diese Schleusen b\u00fcndelt die EU zunehmend in Frankfurt. Die neue Geldw\u00e4schebeh\u00f6rde AMLA nimmt dort ihren Sitz und soll ab 2028 bis zu rund 40 besonders risikobehaftete Unternehmen direkt beaufsichtigen, darunter gro\u00dfe Krypto-Anbieter. AMLA-Chefin Bruna Szego hat vor dem Europ\u00e4ischen Parlament bereits darauf hingewiesen<\/a>, dass die Umstellung auf MiCA die Geldw\u00e4schebek\u00e4mpfung kurzfristig erschweren k\u00f6nnte: Kunden str\u00f6mten zu den abzuwickelnden Altanbietern, um Best\u00e4nde abzuziehen, was den Druck auf diese Firmen erh\u00f6he, w\u00e4hrend die zugelassenen Plattformen einen Ansturm neuer Onboardings bew\u00e4ltigen m\u00fcssten. Belastbar ist die T\u00fcr nur, wenn genug zugelassene Anbieter hinter ihr stehen. Laut casptracker.eu<\/a> waren Anfang Oktober 361 Krypto-Dienstleister im EWR zugelassen, 96 davon in Deutschland, das die Liste damit anf\u00fchrt.<\/p>

Der Stablecoin als eingebaute Hintert\u00fcr<\/h2>

Die vielleicht wirksamste T\u00fcr ist keine Oberfl\u00e4che, sondern das Geld selbst. Der Gro\u00dfteil der DeFi-Aktivit\u00e4t wird in Stablecoins abgerechnet, und ein Stablecoin hat immer einen Emittenten. Unter MiCA gelten euro- und dollargedeckte Zahlungstoken als E-Geld-Token, deren Herausgeber reguliert sind. Die internationale Standardsetzerin FATF empfiehlt in ihrem Bericht vom M\u00e4rz 2026 ausdr\u00fccklich, dass Emittenten Funktionen zum Einfrieren, Verbrennen und Sperren<\/a> direkt in den Smart Contract einbauen und den Sekund\u00e4rmarkt \u00fcberwachen. Der Freeze-Button des Emittenten wird damit zur Compliance, die in der Abrechnungsschicht mitl\u00e4uft.<\/p>

Wie stark dieser Hebel wirkt, zeigt der europ\u00e4ische Stablecoin-Markt selbst. Tether verzichtete auf eine E-Geld-Token-Zulassung, woraufhin die gro\u00dfen Handelspl\u00e4tze USDT f\u00fcr EU-Kunden von den Listen nahmen<\/a>, w\u00e4hrend Circles USDC und der Euro-Token EURC zugelassen sind und in allen 27 Mitgliedstaaten vertrieben werden d\u00fcrfen. Der Markt insgesamt umfasst laut CoinGecko<\/a> rund 293 Milliarden Dollar, gut 184 Milliarden davon entfallen auf USDT und 74 Milliarden auf USDC. Wer in Europa einen Stablecoin nutzt, nutzt faktisch einen regulierten. Wie der Freeze-Button zum eigentlichen Regelwerk<\/a> geworden ist, haben wir an anderer Stelle ausf\u00fchrlich beschrieben.<\/p>

F\u00fcr DeFi hat das eine unbequeme Folge. Selbst ein vollst\u00e4ndig dezentrales Protokoll, das in USDC abrechnet, erbt einen Compliance-Haken, denn der Emittent kann eine Adresse auf richterliche Anordnung einfrieren. Das Protokoll mag dezentral sein, sein Geld ist es nicht. Genau das macht den Settlement-Stablecoin zur stillsten und zugleich st\u00e4rksten Kontrollstelle im ganzen System.<\/p>

Die harten Werkzeuge: Sperren und Einfrieren<\/h2>

Hinter den Toren stehen Werkzeuge, die der Zugangsstrategie erst Z\u00e4hne geben. ESMA verlangt in ihrer Stellungnahme die Befugnis, betr\u00fcgerische Websites zu erkennen, zu blockieren und abzuschalten sowie Kryptowerte einzufrieren, wenn der Verdacht auf Marktmissbrauch oder Terrorismusfinanzierung besteht. Im Original liest sich die Forderung als F\u00e4higkeit, „detect, block and deactivate fraudulent websites and freeze crypto assets“. Eine Aufsicht, die eine Oberfl\u00e4che abschalten und Guthaben festsetzen kann, muss das Protokoll dahinter nicht mehr anfassen.<\/p>

Das Vorbild steht in Italien. Die dortige Aufsicht Consob darf seit 2019 die Websites nicht zugelassener Anbieter sperren lassen und hat davon ausgiebig Gebrauch gemacht: Bis zum Sp\u00e4tsommer 2026 waren \u00fcber ihre Liste mehr als 1.800 Portale blockiert<\/a>. ESMA m\u00f6chte diese Blackout-Befugnis europaweit verankern. F\u00fcr ein grenz\u00fcberschreitendes Ph\u00e4nomen wie DeFi ist ein Flickenteppich nationaler Sperren wenig wert, ein einheitlicher Mechanismus dagegen viel.<\/p>

In Deutschland liegt das sch\u00e4rfste Instrument bei der BaFin. Sie kann vor nicht zugelassenen Anbietern \u00f6ffentlich warnen und ihnen das Gesch\u00e4ft untersagen, und sie hat Krypto-Sonderpr\u00fcfungen samt der Einhaltung der Travel Rule in ihrer Aufsichtspublikation Risiken im Fokus 2026 zu einem Schwerpunkt erkl\u00e4rt. Das rechtliche Fundament ist dasselbe, das schon ihr Merkblatt zu Kryptowerte-Dienstleistungen<\/a> beschreibt: Wer eine erlaubnispflichtige Leistung ohne Erlaubnis erbringt, handelt rechtswidrig. Erst dieser Vollzug macht die Zugangsstrategie glaubw\u00fcrdig, denn eine Erlaubnispflicht ohne die F\u00e4higkeit, sie durchzusetzen, bliebe Papier.<\/p>

Die letzte T\u00fcr: Reverse Solicitation und das Marketing<\/h2>

Eine T\u00fcr bleibt oft \u00fcbersehen, obwohl sie der wichtigste Zugang \u00fcberhaupt ist: die Werbung. Viele Europ\u00e4er landen bei einem Protokoll oder einer Offshore-Plattform nicht, weil sie danach gesucht haben, sondern weil ein Angebot sie gefunden hat. MiCA erlaubt bislang die sogenannte reverse solicitation, also die Ausnahme, dass ein Anbieter aus einem Drittland bedienen darf, wenn der Kunde ausschlie\u00dflich aus eigener Initiative herangetreten ist. In der Praxis wird diese Ausnahme so weit gedehnt, bis sie zum Einfallstor wird.<\/p>

ESMA will sie deshalb enger fassen. Sie fordert verst\u00e4rkte Aufsichtsbefugnisse<\/a> gegen\u00fcber Drittlandfirmen, die EU-Anleger ansprechen, ohne unter MiCA zugelassen zu sein, und ausdr\u00fcckliche Regeln, die regulierten Krypto-Firmen untersagen, Dienste rund um nicht MiCA-konforme Stablecoins anzubieten. Das schlie\u00dft zwei stille T\u00fcren zugleich: die passive Kundengewinnung aus dem Ausland und die Weiterreichung in ein nicht reguliertes Abrechnungsmittel. Hinzu kommen strengere Marketing-Regeln, auch f\u00fcr Influencer, ein Punkt, der gerade f\u00fcr die junge, \u00fcber Social Media erreichbare DeFi-Zielgruppe z\u00e4hlt.<\/p>

Damit wird das Doppelgesicht der Zugangsstrategie sichtbar. Dieselbe T\u00fcr, die sch\u00fctzt, \u00fcberwacht auch. Sie bietet dem Nutzer Offenlegung, Beschwerdewege und einen Filter gegen Betrugsseiten, und sie verlangt im selben Atemzug Identit\u00e4tspr\u00fcfung, Datenweitergabe nach der Travel Rule und die M\u00f6glichkeit, Guthaben einzufrieren. Wer DeFi aus Gr\u00fcnden der Selbstbestimmung sch\u00e4tzt, wird in der Zugangsschicht vor allem die \u00dcberwachung sehen, wer den Anlegerschutz in den Vordergrund stellt, vor allem den Filter. Beide Lesarten beschreiben denselben Mechanismus, nur von verschiedenen Seiten der T\u00fcr aus.<\/p>

Wer gilt als Betreiber? Der Kontroll-Test<\/h2>

Die ganze Strategie steht und f\u00e4llt mit einer Frage: Wer ist eigentlich der Betreiber? Die FATF hat daf\u00fcr in ihrem DeFi-Bericht vom Juli 2026 den weltweiten Ma\u00dfstab gesetzt. Entscheidend ist der Test der Kontrolle oder des ma\u00dfgeblichen Einflusses: Ein DeFi-Arrangement f\u00e4llt \u00fcberall dort unter die Regeln, wo eine nat\u00fcrliche oder juristische Person Kontrolle oder hinreichenden Einfluss aus\u00fcbt. Als Indikatoren<\/a> nennt die FATF die Konzentration von Governance-Token, Admin- und Upgrade-Rechte, die Richtung von Geb\u00fchren- und Treasury-Fl\u00fcssen sowie den Einfluss auf Entwicklerteam und Front-end-Infrastruktur. Dieselbe Beh\u00f6rde stellte fest, dass rund 93 Prozent der befragten L\u00e4nder keinen einzigen qualifizierenden DeFi-Dienstleister identifiziert hatten, ein Hinweis darauf, wie neu dieser Zugriff ist.<\/p>

MiCA argumentiert in Erw\u00e4gungsgrund 22 nach derselben Logik, und ESMA will die Schwelle nun sch\u00e4rfer ziehen. Der rote Faden lautet: Haftung folgt der Kontrolle, und Kontrolle folgt oft dem Profit und dem Schl\u00fcssel. Wer den Admin-Schl\u00fcssel h\u00e4lt, kann das Protokoll \u00e4ndern, einfrieren oder abschalten, und wer das kann, ist kein unbeteiligter Zuschauer. Dass die Verwahrung der Schl\u00fcssel auch jenseits des Atlantiks zur zentralen regulatorischen Trennlinie geworden ist, zeigt die neue US-Verwahrregel<\/a>, die ebenfalls an der Kontrolle \u00fcber die Schl\u00fcssel ansetzt.<\/p>

In den USA hat sich dieser Kontroll-Test bereits in Urteilen niedergeschlagen, die der EU als Schablone dienen. Drei Ebenen lassen sich unterscheiden.<\/p>

Ebene<\/th>Pr\u00e4zedenzfall<\/th>Was er zeigt<\/th>EU-Entsprechung<\/th><\/tr><\/thead>
Entwickler<\/td>US gegen Roman Storm (Tornado Cash)<\/td>Code schreiben ist erlaubt, einen Dienst betreiben nicht<\/td>Betreiber-Begriff, kein Freibrief f\u00fcr kontrollierende Entwickler<\/td><\/tr>
Front-end<\/td>Uniswap-Adressfilter<\/td>eine gehostete Oberfl\u00e4che muss gegen Listen abgleichen<\/td>ESMA-Zugangsdienst<\/td><\/tr>
DAO<\/td>CFTC gegen Ooki DAO<\/td>ein DAO ist eine Person, Token-Stimmrechte sind Mitgliedschaft<\/td>Kontroll-Test nach Erw\u00e4gungsgrund 22<\/td><\/tr>
Fiat-Rampe (CASP)<\/td>MiCA-Zulassungspflicht<\/td>der Umtausch ist eine Dienstleistung<\/td>voll reguliert<\/td><\/tr>
Liquidit\u00e4tsgeber \/ Relayer<\/td>weitgehend ungekl\u00e4rt<\/td>Haftung folgt Kontrolle und Profit<\/td>offen<\/td><\/tr><\/tbody><\/table><\/figure>

Roman Storm, Mitentwickler von Tornado Cash, wurde im August 2025 wegen des Betriebs eines unlizenzierten Geldtransmittergesch\u00e4fts verurteilt, bei den Vorw\u00fcrfen der Geldw\u00e4sche und des Sanktionsbruchs blieb die Jury gespalten. Der Wiederaufnahmeprozess ist inzwischen auf den 26. April 2027<\/a> vor Richterin Katherine Polk Failla terminiert. Im Fall Ooki DAO entschied die US-Derivateaufsicht CFTC 2023 per Vers\u00e4umnisurteil, dass ein DAO eine Person im Rechtssinne ist und Token-Inhaber mit Stimmrecht als Mitglieder haften, verh\u00e4ngte eine Strafe von 643.542 Dollar<\/a> und lie\u00df die Website abschalten. Die Botschaft beider F\u00e4lle ist dieselbe: Es haftet, wer kontrolliert und verdient, nicht das Etikett DeFi.<\/p>

Wo der T\u00fcr-Ansatz an Grenzen st\u00f6\u00dft<\/h2>

So folgerichtig der Zugangsansatz ist, er schlie\u00dft die meisten T\u00fcren, aber nicht alle. Ein wirklich f\u00fchrungsloses Protokoll ohne identifizierbaren Betreiber bleibt au\u00dferhalb der Reichweite, ebenso ein Stablecoin, der sich bewusst gegen das Einfrieren sperrt. Selbstverwahrte Wallets und reine Peer-to-Peer-Transfers kommen ohne Vermittler aus, und ein Front-end l\u00e4sst sich auf Servern au\u00dferhalb der EU oder verteilt hosten. F\u00fcr jede geschlossene T\u00fcr gibt es im Prinzip ein Fenster.<\/p>

Die Zahlen zeigen, wie gro\u00df dieser Rest ist und wie klein zugleich. Laut dem Krypto-Kriminalit\u00e4tsbericht von Chainalysis<\/a> flossen 2025 rund 154 Milliarden Dollar an illegale Adressen, das sind aber weniger als ein Prozent des gesamten On-Chain-Volumens, und auf Stablecoins entfielen etwa 84 Prozent dieses illegalen Werts. Die Kontrolle \u00fcber die Tore erreicht den normalen Nutzer zuverl\u00e4ssig, den entschlossenen Akteur, der jede Rampe meidet, dagegen kaum. Dass ganze Kategorien schlicht au\u00dferhalb des Rahmens bleiben, ist kein DeFi-Spezifikum, sondern zeigt sich etwa auch bei Bitcoin-Token-Standards und der MiCA-L\u00fccke rund um Runes<\/a>.<\/p>

Hier kehrt Kerstens’ Einwand zur\u00fcck. Wer zu hart auf die Tore dr\u00fcckt, riskiert, Aktivit\u00e4t genau dorthin zu verlagern, wo es gar keine Tore mehr gibt, w\u00e4hrend der wirklich dezentrale Kern ohnehin unerreichbar bleibt. Der ehrliche Anspruch der Strategie ist deshalb schmaler, als ihre Sprache nahelegt: Sie regelt den Zugang zu DeFi f\u00fcr normale Europ\u00e4er, nicht DeFi selbst.<\/p>

Der Fahrplan: von der Konsultation zum Gesetz<\/h2>

Noch ist nichts davon geltendes Recht. Die Konsultation war der Anfang, nicht das Ende. Die Kommission hatte sie am 20. Mai 2026 mit 86 Fragen gestartet und bis zum 30. September laufen lassen, wie Br\u00fcsseler Beobachter<\/a> festhielten. Nun muss sie die Stellungnahmen auswerten und ihre Berichte nach den Artikeln 140 und 142 der Verordnung vorlegen, bis sp\u00e4testens 30. Juni 2027. Erst danach k\u00f6nnte ein Gesetzentwurf folgen, ein m\u00f6gliches MiCA 2, das realistischerweise nicht vor 2028 bis 2030 Anwendung f\u00e4nde. Die offizielle Begr\u00fcndung der Kommission<\/a> ist n\u00fcchtern: Man pr\u00fcfe, ob MiCA im Licht der ersten Anwendungserfahrungen weiterhin zweckm\u00e4\u00dfig sei.<\/p>

Zeitpunkt<\/th>Ereignis<\/th><\/tr><\/thead>
20. Mai 2026<\/td>Kommission startet die gezielte MiCA-Konsultation (86 Fragen)<\/td><\/tr>
1. Juli 2026<\/td>MiCA in Deutschland voll anwendbar, \u00dcbergangsfrist beendet<\/td><\/tr>
24. September 2026<\/td>EBA legt ihre Priorit\u00e4ten f\u00fcr die \u00dcberpr\u00fcfung vor<\/td><\/tr>
30. September 2026<\/td>Konsultation endet, ESMA reicht ihre Stellungnahme ein<\/td><\/tr>
bis 30. Juni 2027<\/td>Kommission legt die Berichte nach Art. 140 und 142 vor<\/td><\/tr>
10. Juli 2027<\/td>EU-Geldw\u00e4scheverordnung (AMLR) voll anwendbar<\/td><\/tr>
ab 2028<\/td>m\u00f6gliches Gesetzgebungsverfahren f\u00fcr ein MiCA 2<\/td><\/tr><\/tbody><\/table><\/figure>

Dieser Zeitplan ist mehr als eine Formalie. ESMA und EBA schlagen vor, die Kommission entscheidet, am Ende legen Parlament und Rat das Gesetz fest. Die Zugangsstrategie ist bislang eine Richtung, kein Paragraf. Doch die Richtung z\u00e4hlt, weil Entwickler und Dienstleister Jahre im Voraus planen und heute entscheiden, ob sie ihr Front-end in Frankfurt oder in Dubai betreiben.<\/p>

Was es f\u00fcr deutsche Nutzer und Entwickler bedeutet<\/h2>

F\u00fcr den normalen Nutzer in Deutschland \u00e4ndert sich der Alltag weniger radikal, als die Debatte vermuten l\u00e4sst. Wer \u00fcber eine in der BaFin-Datenbank zugelassene Plattform ein- und aussteigt, bewegt sich auf der sicheren Seite der T\u00fcr. Dieser Zugang sch\u00fctzt, weil er Offenlegung und R\u00fcckgriffsm\u00f6glichkeiten bietet, und er \u00fcberwacht zugleich, weil er Identit\u00e4tspr\u00fcfung und Travel Rule mitbringt. Die Selbstverwahrung bleibt erlaubt, doch sp\u00e4testens an der Fiat-Rampe wird es kontrolliert, und anonyme Konten sowie M\u00fcnzen mit eingebauter Anonymisierung sind bei regulierten Anbietern ab Juli 2027 tabu.<\/p>

F\u00fcr Entwickler verschiebt sich die entscheidende Frage. Wer ein Front-end, eine Wallet-App oder einen Aggregator betreibt, der Nutzer in ein Protokoll leitet, d\u00fcrfte nach ESMAs Logik zum Zugangsanbieter werden, und Kontrolle bedeutet Haftung. Wer dagegen reinen Open-Source-Code ver\u00f6ffentlicht, keine Schl\u00fcssel h\u00e4lt, keine Geb\u00fchrenweiche betreibt und kein Front-end hostet, steht in einer anderen Position als ein Betreiber. Die Trennlinie ist die Kontrolle. Dieselbe Frage stellt sich zunehmend bei automatisierter Software und KI-Agenten, die im Namen von Nutzern on-chain handeln; wer solche Systeme baut, etwa auf dezentraler Inferenz-Infrastruktur<\/a>, wird fr\u00fcher oder sp\u00e4ter wissen m\u00fcssen, ob schon das Ausliefern eines Werkzeugs einen Zugang er\u00f6ffnet.<\/p>

Ob die Wette aufgeht, h\u00e4ngt am Vollzug, und genau darauf hat ESMA-Chefin Verena Ross den Finger gelegt. Ihr Satz aus einem Interview<\/a> gilt f\u00fcr die gesamte Zugangsstrategie: „The MiCA rulebook will only protect investors if it is effectively applied.“ Das Mandat von Ross endet am 31. Oktober 2026, die Stellungnahme vom 30. September z\u00e4hlt zu ihren letzten gro\u00dfen Amtshandlungen, und die Aufgabe, aus Vorschl\u00e4gen durchgesetzte Wirklichkeit zu machen, f\u00e4llt ihrer Nachfolge zu. F\u00fcr deutsche Nutzer und Entwickler ist die Richtung dennoch klar: Der Code bleibt frei, die T\u00fcr bekommt ein Schloss, und wer den Schl\u00fcssel zu dieser T\u00fcr h\u00e4lt, tr\u00e4gt die Verantwortung.<\/p>

H\u00e4ufig gestellte Fragen<\/h2>

F\u00e4llt DeFi unter die MiCA-Verordnung?<\/h3>

Nur teilweise. MiCA reguliert Dienstleister und Emittenten, nicht das Protokoll selbst. Erw\u00e4gungsgrund 22 nimmt vollst\u00e4ndig dezentrale Dienste ohne Vermittler aus. In der Praxis ist diese Ausnahme schmal, weil fast jedes Protokoll ein Front-end, Admin-Schl\u00fcssel oder eine konzentrierte Governance hat, an die eine Regel ankn\u00fcpfen kann.<\/p>

Was ist der ESMA-Vorschlag f\u00fcr einen DeFi-Zugangsdienst?<\/h3>

ESMA hat am 30. September 2026 vorgeschlagen, eine neue erlaubnispflichtige Krypto-Dienstleistung f\u00fcr Firmen einzuf\u00fchren, die Nutzern Zugang zu DeFi-Protokollen verschaffen, etwa \u00fcber Web-Oberfl\u00e4chen, Wallet-Apps oder Aggregatoren. Reguliert w\u00fcrde damit die Zugangsschicht zwischen zentralisierter und erlaubnisfreier Finanz, nicht das Protokoll selbst.<\/p>

Ist die Nutzung von DeFi in Deutschland legal?<\/h3>

Ja. Die Nutzung von DeFi und die Selbstverwahrung von Kryptowerten sind in Deutschland legal. Reguliert werden die Zugangspunkte: Wer Krypto gegen Euro tauscht, passiert einen zugelassenen Dienstleister mit Identit\u00e4tspr\u00fcfung und Travel Rule, und ab Juli 2027 sind anonyme Konten sowie M\u00fcnzen mit eingebauter Anonymisierung bei regulierten Anbietern untersagt.<\/p>

Wer haftet, wenn ein DeFi-Protokoll nur aus Code besteht?<\/h3>

Haftung folgt der Kontrolle, nicht dem Etikett. Wer Admin-Schl\u00fcssel h\u00e4lt, ein Front-end betreibt, Geb\u00fchren vereinnahmt oder die Governance dominiert, gilt als identifizierbarer Betreiber. US-F\u00e4lle wie Ooki DAO und der Prozess gegen den Tornado-Cash-Entwickler Roman Storm zeigen die Linie, an der sich auch die EU orientiert.<\/p>

Was \u00e4ndert sich f\u00fcr Stablecoins in DeFi durch MiCA?<\/h3>

Stablecoins werden unter MiCA als E-Geld-Token behandelt, deren Emittenten reguliert sind und auf Anordnung Adressen einfrieren k\u00f6nnen. USDT wurde mangels Zulassung von EU-Handelspl\u00e4tzen genommen, w\u00e4hrend USDC und EURC zugelassen sind. Da DeFi meist in Stablecoins abrechnet, kommt Compliance so \u00fcber das Abrechnungsmittel ins Protokoll.<\/p>